iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 01:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Opera釋出內建免費VPN的Opera for Android 51
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>挪威瀏覽器業者<a href="https://press.opera.com/2019/03/20/opera-launches-built-in-vpn/" target="_blank">Opera於本周更新支援Android平台的行動瀏覽器</a>，此一新的Opera for Android 51內建了免費的私人虛擬網路（Virtual Private Network，VPN）服務，以期改善用戶的線上隱私與安全。</p> <p>VPN採用加密的隧道協定（Tunneling Protocol）以阻止竊聽與嗅探來提供機密性，也能進行傳送者的身分驗證，預防身分偽造，或確保訊息的完整性。當Android用戶執行新版Opera瀏覽器時，不用額外下載程式，也無需登入，直接切換至VPN模式即可。</p> <p>負責Android平台的Opera副總裁Peter Wallman表示，當使用者在缺乏VPN保護的狀態下使用公共Wi-Fi網路時便很容易曝露自己的通訊，VPN將讓第三方更難竊取使用者資訊，也可避免被追蹤。而Opera則企圖讓VPN的採用變得更容易及友善，以幫助那些想要更多安全卻不知從何著手的使用者。</p> <p>Opera引用Global World Index的統計指出，全球約有6.5億的VPN使用者，且透過VPN連網的行動裝置用戶也愈來愈多，行動VPN用戶每天使用的比例高達42%，桌面VPN用戶每天使用的比例也有35%。</p> <p>有鑑於其它行動瀏覽器業者並未內建VPN功能，市場猜測Opera此舉是為了提振該瀏覽器於行動市場的佔有率。根據Net Applications的調查，Opera的市佔率只有0.35%，遠遠落後Chrome的63.21%、Safari的26.38%，也輸給百度、UC Browser、QQ、舊版的Android Browser及Firefox。</p> </div></div></div>
2019/3/21 16:25作者陳曉莉https://www.ithome.com.tw/news/129497
Google要讓歐盟Android用戶自由選擇搜尋引擎和瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在3月20日歐盟針對Google以第三方網站AdSense for Search合約，排擠搜尋競爭對手的事件<a href="https://www.ithome.com.tw/news/129489）前夕，Google宣佈（https://blog.google/around-the-globe/google-europe/supporting-choice-and-competition-europe/" target="_blank">公佈判決結果</a>前夕，<a href="https://blog.google/around-the-globe/google-europe/supporting-choice-and-competition-europe/" target="_blank">Google宣佈</a>讓歐盟Android用戶自由選擇瀏覽器及搜尋服務，以「支持歐洲用戶選擇及產業自由競爭」。</p> <p>過去十年來，Google受到歐盟反競爭委員會的多次「關照」，以及天價金額的處罰。包括2017年以Google濫用搜尋優勢排擠比價購物競爭網站<a href="https://www.ithome.com.tw/news/115162" target="_blank">判罰24.2億歐元</a>，2018年再以強迫Android手機及平板業者安裝搜尋、地圖等自家服務，<a href="https://www.ithome.com.tw/news/124652" target="_blank">重罰43.4億歐元</a>，以及今年3月以AdSense for Search合約條款排擠微軟、Yahoo等競爭對手，<a href="https://www.ithome.com.tw/news/129489" target="_blank">罰款14.9億歐元</a>。</p> <p>Google全球事務資深副總裁Kent Walker指出，每一次Google都「虛心接受」外界包括歐盟及其他人的「意見」，也順應要求修改其服務。最近Google開始<a href="https://support.google.com/google-ads/answer/9262823" target="_blank">測試Google Shopping</a>的新格式，提供使用者直接連結到購物比價網站，搭配廠商提供的特定優惠。</p> <p>針對Android手機綁Google apps的案件，去年Google已經<a href="https://www.ithome.com.tw/news/126465" target="_blank">透過個別授權的方式</a>，將Google Play、Google Chrome和Google Search個別提供給歐盟Android手機用戶，也就是要用戶額外付費才能下載這些app。</p> <p>Google預計會再提供進一步措施，確保歐洲的Android手機用戶知道他們可自由下載瀏覽器和搜尋引擎，但目前並未說明會怎麼做及詳細時程，只透露這包括詢問歐盟現有及新的Android 手機用戶想使用哪一款瀏覽器和搜尋app。</p> <p>Google主管最後表示，該公司向來致力於提供用戶最快、最好的答案，最新措施則彰顯Google以開放而嚴謹的態度實現承諾。</p> </div></div></div>
2019/3/21 16:50作者林妍溱https://www.ithome.com.tw/news/129499
臺鐵第四代票務系統4月開放個人訂票，憑手機就能搭火車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">臺灣鐵路管理局(簡稱臺鐵)宣佈第四代票務系統將在4月9日上線，未來民眾搭火車透過App訂票，不再需要到超商付款取票，憑手機上的QR Code就能搭車。</span></p> <p class="p1"><span class="s1">臺鐵局長張政源表示，第四代的票務系統有許多特色，過去臺鐵車票40年來都是橫的，未來將會改為直的，以符合驗票機規格。新的系統還提供一站購足，能夠節省民眾的時間，購票的同時可預訂臺鐵便當，車票及購買便當金額一次付款，臺鐵服務人員會將便當送到座位上。</span></p> <p class="p1"><span class="s1">第四代票務系統已在2月21日先開放給團體票訂票，個人訂票部份將會在4月9日開放訂票，臺鐵將在4月23日汰換舊有系統，而配合新的票務系統上線，現在的臺鐵e訂通app將會改版更新，除了採用新的使用者介面，民眾在app上可以查詢時刻、訂票及便當，完成線上訂票付款後，出發日只要憑app上的QR Code就能通過驗票閘口，不再需要到超商付款、領取紙本車票。</span></p> <p class="p1"><span class="s1">新系統也強調更為智慧化，例如以往民眾想要搭火車從臺北到花蓮，一票難求，民眾可能會改為分段訂票，先查看臺北到宜蘭是否有空位，再購買宜蘭到花蓮的車票，新系統提供了「自動分段湊票」的功能，設定好起迄站「臺北-花蓮」，可交由系統幫你查看同班次火車的不同車廂，臺北到宜蘭、宜蘭到花蓮是否有空位，自動執行分段湊票。</span></p> <p class="p1">臺鐵表示，民眾訂位除了快速購票，也能進階設定座位的偏好，像是選擇靠窗或靠走道座位，如果是和親友四人搭火車出遊，也能選擇預訂前後兩排雙人座位，或是四人一排的座位。</p> <p class="p1"><span class="s1">準備在4月23日退役的現有第三代票務系統是在民國94年上線，核心的票務系統由NEC建置，網路訂票系統則由中華電信負責，第四代票務系統由中華電信協助打造，包括雲端技術及資安防護。</span></p> <p class="p1"><span class="s1">針對民眾在連假返鄉的「搶票」問題，新票務系統導入了智慧配座機制，改善現有固定配位模式，提高單筆訂票效率，中華電信表示，新系統訂票成功率提高5到10%，同時因應大量購票需求，也運用雲端技術，預估最高每分鐘可完成60萬筆交易，是舊系統的3倍。</span></p> <p class="p1"><span class="s1">另外，為了防止機器人搶票，在訂票部份原本會要求訂票者辨識扭曲的文字，以排除機器人訂票的做弊行為，但仍可能被破解，新系統則導入Google的CAPTCHA識別機制，只要勾選「我不是機器人」就能通過驗證，但如果懷疑為機器人訂票，會進一步要求通過圖像識別驗證。</span></p> <p class="p1"><span class="s1">為了讓民眾先一步體驗，臺鐵在3月18日到3月29日，在臺北、臺中、高雄、花蓮、臺東五個車站設置體驗區，蒐集民眾對這套訂票系統的使用意見，未來再依使用意見調整系統。</span></p> </div></div></div>
2019/3/21 16:51作者蘇文彬https://www.ithome.com.tw/news/129495
微軟發出有警告倒數計時的Windows 7 安全更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows 7將在明年1月14日截止技術支援，而Windows 7 PC用戶可能會無時無刻接到微軟的提醒，就連安全更新公告也不會例外。</p> <p><a href="https://www.ithome.com.tw/news/129295" target="_blank">微軟上周公告將從4月起開始發出通知</a>，提醒Windows 7用戶快點升級。不過3月還沒過完，微軟在3月20日釋出的<a href="https://www.ithome.com.tw/news/129295" target="_blank">Windows 7 SP1的安全公告</a>就已經先啟動通知。除了告知用戶開啟Windows Update即可自動下載更新外，這次的公告還增加了Windows 7支援將屆的訊息：「在服務10年之後，2020年1月14日將是微軟提供執行Windows 7 SP1電腦安全更新的最後一天。本次更新啟用了Windows支援終止的提醒。」此外也附上<a href="https://support.microsoft.com/en-us/help/4493132/windows-7-update-kb4493132" target="_blank">Windows 7終止支援的相關網頁連結</a>。</p> <p>同時間，代號19H1的Windows 10 April Update也即將來到最終階段。<a href="https://blogs.windows.com/windowsexperience/2019/03/12/announcing-windows-10-insider-preview-build-18356/#Jh8sBQ6bH72tdQHu.97" target="_blank">微軟宣佈Windows 10 Insider 開者預覽版Build 18356.16 (19 H1)</a>已經透過穩定通道（Slow ring）釋出給開發人員，意謂著釋出給大眾的正式版本為期不遠了。</p> </div></div></div>
2019/3/21 14:30作者林妍溱https://www.ithome.com.tw/news/129492
【臺灣資安大會直擊】脫口秀突顯臺灣資安市場亂象，需要買賣雙方一同成長、茁壯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在歷年的臺灣資安大會中，大會的各項議程多半以演講為主，在2019臺灣資安大會進行到了第3天，3月21日上午的大會Keynote有了很大的不同，包含了2場以實際現場展示為主的議程，還有頭一遭採用脫口秀形式討論的議程，而這場脫口秀，分別講出了在企業選購資安解決方案的難處，以及業者與企業溝通所面臨的現象，希望藉由這樣的各自表述，讓雙方能夠建立互信，引領臺灣的資安向前邁進。</p> <p>在這場臺灣資安大會首創的脫口秀裡，由iThome資安主筆黃彥棻代表買方，提出有關企業資安人員面臨的情況，而銷售資安產品的廠商，則是奧義智慧共同創辦人邱銘彰（Birdman）出席，道出業者的經驗談。</p> <p>Keynote一開始的時候，邱銘彰向黃彥棻詢問這次臺灣資安大會的規模。黃彥棻說，本次估計至少有7千人報名，而且有20多個國家的業者和媒體與會，比起前幾屆的人數，都要來得踴躍。</p> <p>邱銘彰說，在上星期參與的RSA大會，他認為自己變強了，黃彥棻進一步詢問，究竟學到什麼，邱銘彰開玩笑說，他留意到會場裡有很多形而上的演講，但黃彥棻馬上回擊，認為這種打高空的做法，大家都聽不懂，在臺灣吃不開。</p> <p>邱銘彰回歸正題，提到他最深刻的感受，就是今年臺灣資安大會的資安101分堂議程裡，許多講題都探討MITRE提出的ATT&CK資安框架，在RSA大會上也同樣熱烈討論，而且已經算是成為一種標準，他發現，無論在藍隊研發產品，還是紅隊模擬演練上，都開始相當倚賴這套資安框架所提供的情境，因此，邱銘彰認為，現在企業必須跳脫比較資安產品的規格，而是要了解自己的需求是什麼。</p> <h2><strong>信任危機是資安架構最大的問題</strong></h2> <p>邱銘彰說，其實我們的防火牆等資安產品中，早就有所謂的自動防禦機制，但現實是，沒有人敢開啟使用，問題就在於大家根本無從判斷，資安設備的決策是否可靠？反過來說，企業長久以來，為了確保不會出錯，反倒在這方面付出了相當高的成本，即使是時下常見的機器學習技術，資安系統往往只有提供分析結果的可靠程度百分比，這樣的輔助指標，企業還是很難確認分析結果是否符合預期。所以，資安產品分析的依據若是能對企業透明，才能讓企業信任。</p> <p>黃彥棻也認同這樣的看法，因此也表示長年以來，企業相當仰賴資安業者提供的資訊，然而，邱銘彰卻說，企業還是需要做功課，確實了解自身資安需求才行。他以自己遇到某家製造業的資安主管為例，這位資安主管從公司草創做電腦文書小妹，後來公司購置了印表機，這臺設備就交由她管理，後來，印表機連上網路之後，這個資安主管便接下了管理內部網路的責任，隨著公司導入資安，她就掌管該公司的資安部門，而像這位主管從IT踏入資安領域，而非擁有相關背景的人員，邱銘彰表示，他在實務上遇到不少這樣的資安人員，造成需要更多的溝通。</p> <p>由於買方不曉得如何挑選，邱銘彰說，結果最常看到的做法，就是要求每間廠商各拿出幾個病毒，大家來比畫一番，看誰的產品偵測率比較好。而且，更雪上加霜的是，邱銘彰說，甚至他看過有些企業最後採購決定因素，竟是該廠商的業務小姐長得最漂亮，出乎許多參與競標的預期。</p> <p>黃彥棻問：「可是，難道廠商就沒有需要檢討或改進的部分嗎？」</p> <p>邱銘彰回道，其實，好的資安政策或是技術，也必須能讓使用者容易理解，進而信任並使用，這就是廠商的責任；相反的，一套資安系統若是太過複雜，確實會帶來難以運用的風險。他也舉出許多人認為「實體隔離就是安全」，便是因為這樣的訴求極為簡單易懂－－儘管事實上這個論點是一種迷思，卻也代表技術和做法必須讓用戶理解，才能進一步贏得信任。</p> <p>當然，邱銘彰重申，企業還是要了解自己的資安態勢與需求，雖然與會的資安人員努力參與各式議程，這3天來像海綿般廣泛吸收大量知識，但是缺乏互動，因此，他也鼓勵與會者也要多逛攤位，跟廠商進行一對一的討論，能夠進一步深入了解，學到更多。</p> <p>其實就這場脫口秀的討論下來，資安市場的發展，有賴企業與資安業者再精進，好的買家和好的賣家同等重要，這樣才能一同攜手向前，也呼應了這次的大會標題「Together, We Become Stronger.」</p> </div></div></div>
2019/3/21 14:42作者周峻佑https://www.ithome.com.tw/news/129493
Google在Coursera上架網站可靠性工程課程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.coursera.org/learn/site-reliability-engineering-slos">Google在Coursera上公開了最新的線上課程</a>，課程主題為網站可靠性工程（Site Reliability Engineering，SRE），所有人都可以在Coursera上，學習到來自Google的網站可靠度工程經驗。</p> <p>整個課程學習時間大約只有19個小時，4個星期就能夠學習完成，課程會從SRE的基本開始，介紹SRE的概念，並且教導SRE、CRE以及SLO等各種觀念。課程參與者還可以學到描述和測量服務可靠性的方法，SLI和SLA的意義，並且學會設定錯誤預算（Error Budget）與使用方式，也會知道怎麼評估指標。</p> <p>上完這個課程，參與者可以學習到基礎知識，以及SRE如何成為Google工程的一部分，也能學習使用SRE中用於決策的工具，參與者除了能夠了解可靠性系統的目標以及使用者期望間的關係外，還可以知道常見監控實作，以及各種測量策略的優缺點，並有能力選擇適合自己指標。</p> <p>課程也會透過使用案例，帶參與者深入了解SLI以及SLO，學習到執行風險分析的方法，並且將這些知識應用在企業長期可靠性目標上。</p> </div></div></div>
2019/3/21 13:35作者李建興https://www.ithome.com.tw/news/129477
蘋果發行新一代AirPods，增長通話時間還推出無線充電盒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://www.apple.com/tw/airpods/">蘋果發行第二代無線耳機AirPods</a>，搭載全新的H1耳機晶片，標榜增加50%的通話時間、直接聲控語音助理Siri，還推出無線版的充電盒，搭配標準版充電盒的AirPods售價為5,290元，而無線充電盒的AirPods是6,490元，使用者也能單獨購買適用於兩個版本的AirPods無限充電盒，售價為2,690元，目前已於美國地區販售，但是臺灣開賣時間尚未確定。</p> <p>第二代的AirPods的H1耳機晶片，能夠使無線耳機與各裝置更快且穩定地連結，根據蘋果官網指出，在已開啟的裝置間切換速度快2倍，通話的連接速度也增加了1.5 倍，此外，該晶片也能夠用聲控的方式驅動Siri，因此，用戶不再像以前需要點擊耳機兩下才能喚醒Siri，透過聲控的方式就能完成更改曲目、撥打電話、調節音量等功能，大幅地提升了使用的便利性，且用戶在玩遊戲的時候，AirPods能夠減少30%的聲音延遲。</p> </div></div></div>
2019/3/21 13:36作者何維涓https://www.ithome.com.tw/news/129481
Google用ML使自創旋律加入巴哈風格生成複音音樂
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>機器學習也能應用在音樂上嗎？<a href="https://www.google.com/doodles/celebrating-johann-sebastian-bach">Google AI部門的Magenta研究專案PAIR計畫團隊打造出第一個由AI驅動的Doodle服務</a>，Doodle為一項互動式體驗，讓用戶自行創造一段旋律，按下和聲演奏（Harmonized）的按鈕後，Doodle會透過機器學習技術，將用戶自創旋律加入德國作曲家約翰·克里斯蒂安·巴哈的風格，重新呈現創作作品，生成帶有巴哈風格的複音（polyphonic）音樂，用戶還能將該段旋律下載儲存。</p> <p>要開發Doodle服務的第一步驟就是要打造一個機器學習模型，Doodle現行的ML模型是由Magenta團隊成員Anna Huang所打造，Anna Huang建立了一套名為Coconet的多功能模型，該模型可用於廣泛範圍的音樂型任務中，像是合奏旋律、作曲等，特別的是，Coconet模型是透過306首聖詠曲訓練而成，巴哈的聖詠曲大部分採取四聲部的寫法，每一個聲部都具有個別的旋律線，同時四個聲部一起演奏時，又能產生豐富的合奏。</p> <p>Google研究團隊表示，巴哈簡潔的作曲架構就成了機器學習模型很好的訓練資料。而PAIR計畫團隊則是使用瀏覽器開發ML模型韓式庫TensorFlow.js，使機器學習模型能夠在網頁中運行。</p> </div></div></div>
2019/3/21 13:38作者何維涓https://www.ithome.com.tw/news/129484
AWS針對吵雜環境場景，用半監督式學習提升語音辨識模型準確度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://developer.amazon.com/blogs/alexa/post/d6e559c4-ac00-45a1-97ee-fde845e99202/machine-labeled-data-artificial-noise-better-speech-recognition">AWS近日利用半監督式學習方法，來提升語音辨識系統效能</a>，特別是在吵雜的環境中，AWS表示，雖然現在深度神經網路能夠準確地辨識大量詞彙的對話，訓練工作還是需要長達數千個小時的標註資料，收集這些龐大資料不但耗時且成本昂貴，因此，過去AWS的科學家不斷在研究能夠在人工干預最小化的情況下，讓Alexa學習正確辨識語音的技術，大致上分為非監督式和半監督式學習。</p> <p>AWS採用半監督式學習方法，首先，用800小時標註過的語音資料，訓練了一套語音辨識模型，該辨識模型擔任老師的角色，並用該模型「輕微地」標記另外尚未標記的7,200小時語音資料，接著，AWS手動在一些數據集中加入雜訊，再將這些帶有雜訊的資料集和被第一個模型標記的資料，一起用來訓練第二個辨識模型，而這個模型則是擔任學生的角色，藉由這樣的設計，AWS期望創在學生模型是用具有噪音的資料訓練，而老師模型則是乾淨的語音資料，如此一來，就能改善語音辨識系統處理噪音的穩定度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/T-S_architecture.jpg__CB467865187_.jpg" style="width: 500px;" /></p> <p>圖片來源：AWS</p> <p>在一項測試實驗中，AWS同時播放錄製的語音和用音響播放多媒體聲音，相比只有用無噪音和標註資料訓練的語音辨識模型，AWS半監督式的辨識模型錯誤率減少了20%。</p> </div></div></div>
2019/3/21 13:45作者何維涓https://www.ithome.com.tw/news/129485
Google在AdSense搜尋廣告排擠對手遭歐盟罰款14.9億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟反托拉斯委員會以Google濫用市場獨大地位，在與第三方網站的AdSense廣告合約中，採行多項限制性的條款，阻撓Google競爭者在這些網站上投放搜尋廣告，違反歐盟反托拉斯法規，在3月20日宣布<a href="http://europa.eu/rapid/press-release_IP-19-1770_en.htm" target="_blank">判罰Google 14.9億歐元</a>（約520億台幣）。</p> <p>歐盟競爭委員會主席Margrethe Vestager指出，歐盟以Google在線上搜尋廣告中介市場上非法不當運用其獨大地位，判罰14.9億歐元。Google透過對第三方施加反競爭的合約限制來鞏固其線上搜尋廣告的優勢，時間超過10年，扼殺了競爭者在同等地位上競爭及創新的可能性，間接損害消費者利益。</p> <p>這裏討論的不是Google一般的搜尋廣告，而是AdSense for Search服務廣告，後者是顯示在第三方網站，像新聞媒體網站、部落格或旅遊網站內建的Google客製化搜尋（Custom Search）結果頁中的廣告。歐盟在2010年啟動調查，認為Google透過AdSense for Search扮演線上搜尋廣告中，廣告主和第三方網站之間的中介平台角色，而在Google獨佔近90%搜尋的市場中，對競爭者如微軟、Yahoo等而言，第三方網站是他們取得線上搜尋廣告營收的重要途徑。</p> <p><a href="https://www.ithome.com.tw/news/107134" target="_blank">2016年7月歐盟發出二項異議聲明書</a>，對Google做出二項指控。其中一項就是指控Google 利用AdSense for Search和第三方網站的合約，排擠搜尋競爭對手。3月20日的宣佈就是歐盟委員會近二年調查的結果。</p> <p>歐盟調查後，相信Google從2006年就在合約中加入獨家條款，禁止這些出版商網站在其搜尋結果頁展示競爭搜尋引擎的廣告。2009年3月起Google放棄獨家條款，改採名為「優先投放」（Premium Placement）的合約條款，要求出版商保留最賺錢的廣告版位給Google的廣告，並要求Google廣告的投放基本量，使競爭者廣告無法投放在明顯且容易點擊到的版位，而在另一條款中，Google 也要求如果出版商想變更競爭者廣告展示位置，必須取得Google的書面同意。</p> <p>歐盟認為Google先是施加了「獨家供應義務」使搜尋競爭者無法在最知名的網站上投放搜尋廣告，後來又以「鬆綁獨家策略」確保自家搜尋廣告的優勢，且控制競爭者廣告的績效，認定Google行為違反了歐盟反托拉斯法。</p> <p>在2016年歐盟提出異議聲明書後數月，Google停止了所有非法行為。總結Google違法期間及嚴重性，歐盟判罰Google 2018年在歐盟區內線上搜尋廣告總營收的1.29%，即1.49億歐元。Google也可能在歐盟會員國內被個人或企業分別提出民事訴訟。</p> <p>Google尚未對此作出回應。</p> <p>這是歐盟近兩年第三度對這家搜尋巨擘因壟斷業務行為開罰。2017年，<a href="https://www.ithome.com.tw/news/115162" target="_blank">歐盟針對Google濫用搜尋優勢排擠比價購物競爭網站判罰24.2億歐元</a>，<a href="https://www.ithome.com.tw/news/124652" target="_blank">2018年再以Android強制搭售自家服務，重罰43.4億歐元</a>。</p> </div></div></div>
2019/3/21 14:00作者林妍溱https://www.ithome.com.tw/news/129489
快升級到Chrome 72！舊版行動Chrome爆有讓駭客竊取帳密的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你的Chrome升級到最新的72版沒？如果沒有最好快點，因為<a href="https://www.ptsecurity.com/ww-en/about/news/high-risk-vulnerability-in-android-devices-discovered-by-positive-technologies/" target="_blank">安全公司揭露從Android 4.4版以來的Chrome就存在的漏洞</a>，可能讓駭客竊取Android手機用戶上網紀錄、登入資訊等重要資料。</p> <p>這項漏洞是由俄國資安業者Positive Technologies研究員Sergey Toshin在今年一月發現並已通報Google。<a href="https://chromereleases.googleblog.com/2019/01/stable-channel-update-for-desktop.html" target="_blank">Google已在一月釋出修補該漏洞的Chrome 72.0.3626.81版</a>，但當時Google只是輕描淡寫為「瀏覽器中政策執行不足」。</p> <p>這項編號為<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-5765" target="_blank">CVE-2019-5765的漏洞</a>是位在Android 4.4版本以後的Chromium引擎中，後者是Android的WebView一項元件，允許網頁在Android app內顯示網頁。所有使用Chromium為核心的行動版瀏覽器，包括Google Chrome、Samsung Internet Browser、Yandex Browser都會受到影響。</p> <p>研究人員指出，項漏洞可經由Instant app引發安全風險。這類app讓手機用戶不必下載也能試用。用戶點選瀏覽器連結後，智慧型手機會下載一個小檔案可像原生app般執行，它能存取手機硬體但不佔用儲存空間。當攻擊者以instant app執行，就可在用戶點選連結惡意app後攔截資料。</p> <p>該項漏洞可讓駭客從程序記憶體中取得敏感資訊，包括上網紀錄、app登入需要的驗證權杖和標頭，以及其他資料。由於大部份Android app都有WebView，也使這項漏洞變得非常危險，被Google列為高風險漏洞。</p> <p>從Android 7.0後，WebView已經由Google Chrome實作，因此只要更新瀏覽器即可修補漏洞。但早期版本的Android的WebView則必須經由Google Play安裝。若Android手機用戶沒有Google Play服務，則需等手機業者釋出WebView更新。</p> </div></div></div>
2019/3/21 14:05作者林妍溱https://www.ithome.com.tw/news/129490
Google Photos含有可洩露拍照時間與地點的臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.imperva.com/blog/now-patched-google-photos-vulnerability-let-hackers-track-your-friends-and-location-history/" target="_blank">Imperva的安全研究人員Ron Masas最近揭露了Google Photos服務的臭蟲</a>，指出該臭蟲將允許第三方惡意網站汲取Google Photos用戶所存放的照片資訊，包括拍照時間、地點或對象等。</p> <p>整合了人工智慧能力的Google Photos可利用照片的元資源替照片加上標籤，包括地理坐標或日期等；還能自動以文字描述照片，或是偵測照片中的物件與活動；另也具備了人臉辨識能力以判斷照片中的人物。</p> <p><a href="https://venturebeat.com/2019/03/20/security-firms-detail-android-and-google-photos-vulnerabilities-that-exposed-user-data/" target="_blank">Masas則找到了可讓第三方網站透過旁路攻擊擷取上述資料的方法</a>，他說Google Photos的搜尋終端容易受到基於瀏覽器的時序攻擊（timing attack），或稱跨站搜尋（Cross-Site Search）攻擊。</p> <p>駭客只要誘導使用者造訪惡意網站，令他們同時登入Google Photos，就能向Google Photos的搜尋終端送出多種搜尋請求，先找到結果為零的回應時間作為基準線，再與其它的查詢進行比較，以用來推斷使用者是否曾造訪某地。例如Masas查詢了「我在冰島的照片」，假設回應時間比基準線還久，可判斷該使用者應曾到過冰島，也能在查詢字串中加入日期，重覆測試不同的時間點，即可得知該使用者在大約什麼時候去過冰島。</p> <p>其實這類的攻擊行動有些繁瑣，因此並不普及，但Masas認為基於瀏覽器的旁路攻擊行動一直被忽視，迄今大概只有Google或臉書等大型科技業者會把它當作一回事，大多數的業者並未意識到它的風險。在Masas發文的當時，Google也已修補了此一臭蟲。</p> </div></div></div>
2019/3/21 14:15作者陳曉莉https://www.ithome.com.tw/news/129491
去年10個最常被駭客開採的漏洞中，有8個是微軟漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>威脅情報業者<a href="https://www.recordedfuture.com/top-vulnerabilities-2018/" target="_blank">Recorded Future本周公布了2018年基於安全漏洞的網路攻擊分析報告</a>，指出在最常被駭客開採的10個安全漏洞中，就有8個漏洞來自微軟。</p> <p>有不少業者都會定期在每個月或每季修補產品中的安全漏洞，但對企業的資安團隊而言，漏洞的優先修補順序一向是個艱難的挑戰，這激發了Recorded Future對此展開研究的靈感。</p> <p>Recorded Future分析了去年一整年的攻擊套件、網釣攻擊及遠端存取木馬所瞄準的漏洞，顯示出2018年最常被駭客鎖定的十大漏洞中，有8個屬於微軟漏洞，另外兩個則分別是Adobe漏洞及Android漏洞。</p> <p>第一名是微軟在去年5月修補的CVE-2018-8174漏洞，此一當時就已被開採的漏洞藏匿在Windows VBScript Engine中，使用者只要透過IE造訪惡意網站，或是透過任何基於IE描繪引擎的微軟產品開啟惡意檔案，就會觸發漏洞，允許駭客自遠端取得使用者權限。</p> <p>根據Recorded Future的分析，與CVE-2018-8174漏洞有關的攻擊套件主要是藉由網釣攻擊來散布金融木馬程式Trickbot，也有攻擊套件利用它來遞送勒索軟體Magniber，至少受到7款攻擊套件的青睞。</p> <p>居次的則是存在於Adobe Flash Player中的CVE-2018-4878，它是個「釋放後使用」（Use-after-free）漏洞，成功的開採將允許駭客掌控被駭電腦，於遠端執行任意程式，<a href="https://www.ithome.com.tw/news/121072" target="_blank">曾被北韓駭客用來攻擊南韓民眾</a>，Adobe也是在該漏洞遭到開採之後才緊急修補。</p> <p>值得注意的是，在其它位於前10名的7個微軟漏洞中，有4個是在2017年修補的，1個是在2016年修補的，甚至在2012年修補的<a href="https://docs.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-027" target="_blank">CVE-2012-0158</a>都還在排行榜上名列第九。</p> <p>CVE-2012-0158漏洞藏匿在ActiveX控制模組mscomctl.ocx中，因而影響了大量的微軟產品，從Microsoft Office、SQL Server、BizTalk Server、Commerce Server、Visual FoxPro到Visual Basic 6.0等，攻擊的形式可以是惡意網站、惡意Office檔案或惡意RTF檔案，成功的開採將允許遠端駭客執行任意程式。</p> <p>此外，排名第六的CVE-2016-0189已連續3年進入前十名。這是一個指令碼引擎記憶體毀損漏洞，允許遠端駭客進行阻斷服務攻擊或執行任意程式，殃及IE 9至IE 11，已被整合到5個攻擊套件中。</p> <p>至於排行榜上位居第十的Android漏洞為CVE-2015-1805，這是Google在2016年修補的本地權限擴張漏洞，主要遭到刷機程式開採。</p> </div></div></div>
2019/3/21 12:25作者陳曉莉https://www.ithome.com.tw/news/129487
微軟釋出用於PostgreSQL的GUI編輯器Azure Data Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟為幫助PostgreSQL使用者管理資料庫，釋出開源編輯器<a href="https://azure.microsoft.com/zh-tw/blog/azure-data-studio-an-open-source-gui-editor-for-postgres/">Azure Data Studio</a>，讓不習慣使用命令列工具psql的使用者，可以選擇使用圖形化介面工具管理資料庫，Azure Data Studio也整合了終端機，開發者在需要的時候還是能使用psql。</p> <p>Azure Data Studio是一個專注於資料開發的跨平臺編輯器，可用於Linux、MacOS和Windows，支援多數Visual Studio Code，像是Python、R和Kubernetes，微軟提到，當使用者的使用情境偏向處理資料，則可以選擇使用Azure Data Studio，方便管理多個資料庫連接、瀏覽資料庫物件階層或是設定儀表板等，而當使用者的需求較靠近應用程式開發，可以選用Visual Studio Code的PostgreSQL擴充套件就可以了。</p> <p>使用者可以直接利用Azure Data Studio連結PostgreSQL伺服器，PostgreSQL伺服器可以設置在本地端、虛擬機器中或是託管在任何的雲端供應商。Azure Data Studio能夠方便地管理多個資料庫伺服器，微軟提到，使用者通常擁有多個PostgreSQL伺服器，除了生產伺服器外，還會有分段伺服器（Staging Server）以及其他開發用測試伺服器，Azure Data Studio提供伺服器分類功能，以視覺區別不同用途的伺服器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/08681d62-cf7d-4c4c-8280-40843c062c10.png" style="width: 500px;" /></p> <p>Azure Data Studio還新增了追蹤資料庫物件的功能，能夠清楚呈現每個資料庫和表格，所新增的資料列、索引或是函式，微軟提到，這項功能在多人使用的PostgreSQL實例上特別有用，Azure Data Studio在側欄中提供分層導覽，使用者可以用來瀏覽和追蹤伺服器的資料庫、表格、視圖和其他物件。</p> <p>Azure Data Studio加入Peek Definition和Go to Definition功能，方便對物件進行查詢，使使用者能更快地編寫出查詢語法，像是要查詢pg_stat_activity內建統計資料，Go to Definition功能可以讓使用者查看所有欄位以及相關資料。SQL用IntelliSense也被內建在Azure Data Studio中，IntelliSense的程式碼完成功能，可以讓使用者少按幾下鍵盤，幫助使用者快速地撰寫查詢。</p> <p>對於常用的SQL語法，無論是CREATE或是複雜的SELECT語法，使用者可以善用程式碼片段功能，模板化SQL程式碼片段，如此便不需要一再重新輸入重複的字詞。程式碼片段功能是Azure Data Studio從Visual Studio Code繼承而來的功能，可以幫助使用者在重新輸入程式碼時，加速工作進行並減少錯誤發生。</p> <p>在外觀顯示上，Azure Data Studio提供自定義主題的功能，使用者可以選擇現在應用程式流行的暗黑模式、高對比主題或是任何配色主題。另外，可以客製化的選項不只有外觀主題，還包括了快捷鍵，在鍵盤捷徑編輯器中，使用者可以改變預設綁定的快捷鍵組合。</p> </div></div></div>
2019/3/21 12:37作者李建興https://www.ithome.com.tw/news/129472
Khronos發布OpenXR 0.90臨時版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由多家軟硬體公司組成的開發聯盟Khronos，<a href="https://www.khronos.org/news/press/khronos-releases-openxr-0.90-provisional-specification-for-high-performance-access-ar-vr-platforms-and-devices">公開OpenXR 0.9規範的臨時版本</a>，提供統一的跨平臺API，簡化各平臺XR應用程式的開發工作。</p> <p>XR指的便是由電腦透過人機互動，所產生真實和虛擬的組合環境，包括虛擬實境（VR）、增強實境（AR）和混合實境（MR）等相關技術。Khronos OpenXR工作小組在2017年的時候成立，而OpenXR則是一個免授權金的XR開放標準，其扮演應用程式和XR Runtime系統的介面。Runtime功能包括處理影格組合、外圍裝置管理以及原始的追蹤訊息等功能，還能夠支援裝置層級的插件。</p> <p>OpenXR 0.90臨時版本訂定了一個跨平臺API，使XR硬體平臺供應商能夠公開其Runtime系統的功能，透過存取應用程式生命週期，渲染、追蹤、影格時序以及輸入等相關的一組通用物件和功能，開發人員能用最少的工作，將應用程式移植到多個XR系統上，Khronos提到，現在不同供應商的API差異非常大，缺乏共同標準要在多平臺間移植XR應用程式，必須花費大量的時間與資源。</p> </div></div></div>
2019/3/21 12:38作者李建興https://www.ithome.com.tw/news/129474
臉書與ACLU就廣告歧視一案達成和解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://newsroom.fb.com/news/2019/03/protecting-against-discrimination-in-ads/" target="_blank">臉書（Facebook）本周宣布</a>已與美國公平住房聯盟（National Fair Housing Alliance，NFHA）、美國公民自由聯盟（American Civil Liberties Union，ACLU）、美國傳播工會Communication Workers of America（CWA）及其它人權機構達成和解，將替人力招募、住房及信貸類別的廣告主另闢一個平台，以阻止這些廣告主利用臉書的過濾機制從事廣告歧視活動。</p> <p>去年8月美國住房及城市發展部（U.S. Department of Housing and Urban Development，HUD）曾指責臉書的目標式廣告允許地主或房屋仲介過濾受眾的種族、性別、宗教或國籍，違反《公平住房法案》；<a href="https://www.aclu.org/blog/womens-rights/womens-rights-workplace/facebook-settles-civil-rights-cases-making-sweeping" target="_blank">ACLU</a>則於9月指控臉書上的人力招募廣告排除了女性；不只是住房與人力招募，美國的《公平信貸機會法》（Equal Credit Opportunity Act）也規定人們的信貸權利不得因種族、膚色、性別或婚姻狀況而有差別待遇。</p> <p>臉書表示，他們原本就禁止廣告主利用該站的工具進行歧視，現在將進一步阻止這些廣告主的行為，舉凡是要執行住房、人力招募或是信貸的廣告主，都不准以年齡、性別或郵遞區號等選項來過濾可看到廣告的受眾。</p> <p>因此，這些廣告主將擁有比其它廣告主更少的目標廣告過濾選項，臉書也會要求廣告主承諾遵循各種反歧視的法令，並建立一個可偵測有否違法行為的自動化及人工審核系統，也同意了3年的監控期。</p> <p>ACLU表示，隨著愈來愈多人在網路上尋找工作、住房或信貸機會，目標式廣告不只能複製社會上既有的種族或性別偏見，還有可能加劇這樣的現象。因為當廣告主執行了有歧視的廣告之後，其他的使用者根本看不見這些廣告，無從得知相關廣告的存在，也更難抑制這樣的行為。</p> <p>因此，除了替上述3類廣告主打造特製的過濾選項之外，臉書未來也將允許美國使用者搜尋所有的住房廣告，不管這些廣告是鎖定哪些區域的民眾。</p> </div></div></div>
2019/3/21 12:45作者陳曉莉https://www.ithome.com.tw/news/129488
【臺灣資安大會直擊】GDPR上路一年衝擊多大？KPMG深入剖析最嚴個資規範新趨勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟最嚴格個資法《通用資料保護規則》（General Data Protection Regulation，GDPR）自去年上路後成效如何？</p> <p>歐盟執委會（European Commission）今年1月，公布了GDPR隱私法案自2018年5月25日實施8個月以來的成果，顯示民眾已提出超過9.5萬個投訴案件，並有3家業者因違反GDPR而遭到懲處。</p> <p>GDPR也規定業者，必須在發生資料外洩事件的72小時內，向當地的主管機關報告。根據英國一家名為DLA Piper的法律事務所，於今年2月公布的調查顯示，截至今年1月，主管機關所收到的資料外洩揭露件數超過5.9萬件。</p> <p>歐盟執委會指出，歐盟民眾主要投訴的三大類別為電話行銷、電子郵件行銷，以及監視器。而且通常主管機關的調查，都是起因於當事人的申訴。</p> <p>KPMG數位科技安全部門副總經理邱述琛，在今天（20日）的臺灣資安大會上，揭露了他對2019年GDPR關注重點與趨勢觀察。</p> <p>邱述琛表示，自GDPR生效後，也加速了全球隱私法規的發展。去年年底，繼美國、墨西哥、日本、加拿大、南韓與新加坡後，臺灣與澳洲同時成為APEC跨境隱私保護規則（Cross-Border Privacy Rules, CBPR）體系的成員。</p> <p>根據國發會的公告，APEC CBPR體系對企業及組織的隱私保護．是較低程度的要求。而APEC也正在力推與歐盟GDPR接軌互通。</p> <p>「未來隱私在做跨境傳輸的時候，若沒有加入聯盟作為護身符的話，一定會受到許多限制。」邱述琛觀察，各國家與區域基於保護人民，以及維持競爭優勢，透過頒布隱私保護法規，也將成為趨勢。</p> <p><span style="color:#0000FF;"><strong><span style="font-size:24px;">IoT安全防護目標與重點</span></strong></span></p> <p>「資安與隱私保護，是智慧聯網應用的重點。」邱述琛點出，IoT安全防護的重點，分為三個方向，包括裝置安全、設備上資料的安全與個人隱私安全。</p> <p>他進一步指出，裝置本身的安全，需防止裝置被用於惡意攻擊行為，企業要做好資產管理、弱點管理、存取管理與裝置安全事件監控。而設備上資料的安全，則是要確保其機密性、完整性與可用性，針對IoT裝置對於資料的收集、儲存、處理與傳遞，都得做到資料保護與資訊安全事件監控。</p> <p>邱述琛表示，像是能監測心跳、監控GPS位置的智慧手錶，就是涉及個人隱私。然而，若是在橋墩下放了測量水位的感測器，就沒有涉及個人隱私問題。</p> <p>而個人隱私安全，就是要在IoT設備處理個人識別資訊（Personally identifiable information ，PII）的安全，保護的作法包括資訊流管理、PII處理許可管理、知情決策、個資去識別化以及個資隱私洩露監控。邱述琛特別解釋知情決策，指的是使用者到底知不知道你會做這些事，以及他可不可以決定要不要做。</p> <p>邱述琛也分享了丹麥的案例，解釋知情決策。為了合規，網站會在使用者到訪網站時跳出cookie，讓使用者選擇接受或不接受，但有些網站在使用者點選不接受時，結束網站，不讓使用者繼續瀏覽或使用服務。丹麥個資保護主管機關在收到民眾的投訴後，決議這樣的作法是違反GDPR，因為迫使使用者在壓力下，做出接受的選擇。</p> <p><strong><span style="font-size:24px;"><span style="color:#0000FF;">IoT隱私防護建議</span></span></strong></p> <p>隱私防護到底要做什麼？邱述琛建議，要建立告知用戶方式，利用系統告知。而在個資處理上，他也提出控制措施的建議，包括事先確認隱私屬性與安全需求，並取得隱私資料收集的授權，以及訂定隱私資訊使用目的規範。</p> <p>而在資料流的管理，邱述琛也建議，企業要盤點個人識別資訊，並確認蒐集來的個人識別資訊與來源是正確的。</p> <p>GDPR很大的一個概念是要將資料所有權，還歸於民。「隱私保護將翻轉服務型態。」邱述琛解釋，當資料所有權在人民手上，就能以人民為主體，選擇應用、服務，以及要選擇哪些組織來提供服務。</p> <p>邱述琛個人也猜測，美國會出現聯邦隱私法，來對抗歐盟GDPR，也只有這樣才會夠力。他指出，美國參議院的一份調查報告顯示，國會應通過立法建立國家統一標準，要求收集和存儲PII的私人企業，採取合理與適當措施，以防止網路攻擊和資訊洩露。</p> <p><span style="font-size:24px;"><strong><span style="color:#0000FF;">隱私工程與SSDLC</span></strong></span></p> <p>「隱私工程是達成目標的具體方法，但得先弄清楚目標。」邱述琛表示，企業得先把風險搞清楚，也就是根據風險評估的結果，判斷去識別化的技術類型與程度。首先，要評估有哪些型態的資料、對外提供資料的方式，以及是否引發他人重新識別的意圖，他說，選擇了哪種釋出模型，會決定資料風險狀態。應該做完這些評估，才去選擇最適當的方法。</p> <p>「只要在資安上去強化隱私，就可以解決GDPR的問題，這是很多人的盲點，只運用資訊技術是不足夠的。」邱述琛強調。</p> <p>在落實隱私工程時，一定要把隱私保護納入智慧系統開發需求。首先，要做系統安全與隱私保護分析，分析完後要做威脅建模，以攻擊者角度，識別可能影響軟體系統的威脅，並進行評估。</p> <p>後續，才能執行隱私工程，以威脅特性所對應的控制方針，並依據系統特性，設計可行控制措施。接著，進行安全測試，依據系統特性與原始安全需求分析結果，以黑、白、灰箱等方法進行安全測試。到了維運狀態時，就得進行元件更新與組態強化。「這整個生命週期都要做，而且不要跳關。」他強調。</p> <p>邱述琛也提到，在專案初期的安全規畫，就要啟動營運衝擊分析與隱私衝擊評估，不能等到系統建置完成才啟動。</p> <p>「去識別化可以大幅降低GDPR合規成本，因為GDPR不管去識別化的資料。」不過，邱述琛提醒，個人識別資料去識別化後，還是會有風險，例如不同的資料集之間，可能可以進行比對，所以，企業每一年都應不斷檢查釋出的資料，是否有增加風險。</p> <p>最後，他也提到，GDPR最終的目的，是以加值應用與去識別化等互斥指標，取得最大交集，也就是企業建立競爭優勢的地方。他解釋，去識別化的程度越高，資料的運用價值就越低。「GDPR把全球的競爭拉回起跑點，誰跑得快，就是贏家。」邱述琛說。</p> </div></div></div>
2019/3/21 01:05作者李靜宜https://www.ithome.com.tw/news/129482
【臺灣資安大會直擊】IBM資安長：面對無所不在網路攻擊威脅，CISO在推動資安防護上有五大生存攻略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在活動第2天的2019臺灣資安大會上，IBM資安長Koos Lodewijkx也以自身經驗，點出當前企業資安長（CISO）推動資安防護有五大常見的錯誤招式，並且也提出攸關資安長生存的五大資安防護攻略。</p> <p>最近幾年，網路威脅帶來的資安挑戰，比以往更加嚴峻，成為所有企業想要做好資安防護的一大挑戰，Koos Lodewijkx在會中表示，網路安全（ Cyber Security ）已逐漸成為全球趨勢，許多企業資安長都想盡辦法嘗試透過運用各種資安防禦手段，強化資安防護，來防止各種可能出現的駭客網路攻擊，以保護企業的重要資產。</p> <p>Koos Lodewijkx總結過去長年在資安防禦上學到的經驗與教訓，提出資安長推動資安防護存在的5大常見錯誤，提醒資安長，應小心避免犯同樣錯誤。首先，即是資安長對於自身所處技術環境，缺乏全面認識與了解，如雲端，或容器管理服務K8s等新技術，因為無法立即掌握所有可能的資安問題，資安防護就很容易會出現缺口。其次，資安長在推動資安上，很容易會受到根深柢固的組織文化影響，這時想要改變就很難，得花很長時間，讓組織人員學習改變既有工作習慣，以合乎資安要求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190320_131823.jpg" style="width: 600px; height: 338px;" /></p> <p>Koos Lodewijkx提到第3個常見錯誤，則是資安長多以工具性目的，來部署不同資安防禦機制，卻沒有從最終目的（end game）思考這個技術能夠用來解決何種資安威脅，以及其帶來何種資安價值。再者，雖然很多資安長在自己擅長領域的資安防護可以做到滴水不漏，可是一旦超出他們所熟悉的資安防護範疇時，就顯得力不從心，沒有辦法做到同樣的防護強度。最後，資安長總是親力親為，什麼事都要親自參與，有時也不見得是好事，如要做的資安防護項目太多，不暇顧及時，就很容易犯錯。</p> <p>另從資安防護策略來看，Koos Lodewijkx也提出了攸關資安長生存的5大資安防護攻略，讓資安長能夠在駭客猛烈發動攻勢下，依然能夠存活起身對抗，而不被這些威脅擊倒。首先，資安長必需先了解什麼是自身最重要的資產，才能用對資安防護手段。其次是洞悉自己的對手，透過情蒐先了解你的敵人攻擊動機及接下來可能的發展情勢後，幫助企業提前擬定防護策略，以便當發生資安事件時，能夠早一步反應，將損害降到最低。</p> <p>第3個生存策略，則是確保建立一個更安全且穩定可靠的資安基礎設施環境，以便能隨時監控企業內部網路的即時運作狀況，例如有無異常流量等，才能保護企業重要資產；再者，資安長平時也能經由各種資安訓練及測試來練兵，幫助資安團隊做好能夠針對各種威脅因應的準備。最後，他也指出，資安防護是打團隊戰，不是單打獨鬥，資安長必須要找到自己的盟友，不論是與各種資安社群合作，或是尋找強而有力的資安合作夥伴，聯合一起對抗網路威脅。</p> </div></div></div>
2019/3/21 02:51作者余至浩https://www.ithome.com.tw/news/129483
【臺灣資安大會直擊】防範攻擊要從駭客思維出發！HITCON GIRLS成員揭露演練工具濫用的因應對策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年來，企業防範網路攻擊的思維，已經從試圖築起牢不可破的堡壘，開始有所轉變，取而代之的是假定會遭到駭客滲透，因此更強調企業需要找出可能隱而未現的跡象。在此同時，駭客也試圖採取更隱密的方式，透過合法的工具作案－－像是利用PowerShell、常見的壓縮工具WinZip等，然而，HITCON Girls成員YCY表示，實際上，駭客還會利用防守方用來演練的公開工具，在企業內部的網路環境中，為所欲為，因此，她特別在2019臺灣資安大會第2天（3月20日）議程中，呼籲企業要防範這樣的威脅。</p> <p>YCY說，一如小偷想要闖空門，打破窗戶的方式，遠比奮力鋸開大門要來得務實，然而，大多數民眾想要保護家中的財產，卻經常會選擇安裝更難撬開的大門，或是換上更難破解的門鎖。由上述的例子，YCY指出攻擊者與防守者的思維，存在著完全不同的邏輯，因此，企業想要防範網路攻擊，勢必要從駭客的角度，換位思考，了解他們會如何發動攻擊才行。</p> <p>這也突顯近年來檢查企業環境弱點的方法，多半執行的是紅隊演練，而非以往常見的滲透測試。因為，紅隊演練是由駭客攻擊的思維出發，目的是企圖竊取企業的內部資料，涵蓋的範圍較為全面；相較之下，滲透測試著重挖掘系統的漏洞，通常僅限制在指定的範圍，並且針對特定的目標進行測試。另一方面，YCY說，知名的滲透工具Metasploit和紅隊演練工具Cobalt Strike，近2到3年來遭到濫用，駭客拿來在受害者的環境中大開後門的情況，也時有所聞。</p> <h2><strong>從攻擊鏈檢視駭客如何濫用公開工具</strong></h2> <p>那麼，我們要防範駭客的攻擊，就要從他們攻擊的流程－－攻擊鏈各個階段，加以了解、分析。大致上從探查到得手，攻擊鏈共可區分多個階段，首先是對於目標的環境調查，YCY以網路偵察框架Recon-Ng示範，便能收集到攻擊目標裡的電子郵件帳號與網域等資訊。</p> <p>Recon-Ng是一套由Python開發而成的開源網路偵察工具，能在網路環境或網站中，以主動爬行的方式，尋找人名、帳號、電子郵件信箱，還有網頁伺服器的資訊，這套網路偵察框架，也被知名的滲透測試專用的Kali Linux作業系統納為內建的套件。</p> <p>得知企業內部的狀態之後，接著駭客會準備所需的武器，然後發動攻擊。YCY利用滲透測試框架Metasploit示範，直接產生了一個含有惡意巨集的Word文件檔案，然後，交由VirusTotal檢測，約有60款防毒引擎中，有34套識別為有毒。</p> <p>因此，YCY又透過Macro_pack，針對上述產生的檔案進行程式碼混淆，處理之後的Word文件再傳送到VirusTotal分析，就只有15款防毒引擎判斷存在威脅。YCY強調，她所示範的混淆手法算是相當基本，對於駭客真實規避防毒軟體的方式，所利用的工具遠遠不僅於此，完成的武器很有可能交由VirusTotal分析之後，連一家防毒引擎都檢測不出異常。</p> <p>再者，不只產生惡意軟體極為容易，就連漏洞的概念性驗證（PoC）攻擊，YCY說，往往在漏洞遭到公開後的短短幾天就出現，因此駭客也能快速拿來開發變種病毒。</p> <h2><strong>橫向移動與攜出資料的手法，更加隱密</strong></h2> <p>攻擊成功之後，駭客會橫向移動找尋企業重要機密，並滲透內部網路環境，YCY先透過BloodHound，便能以關連圖呈現AD上的物件，而且顯示可能攻擊的途徑。但BloodHound原本開發的目的，是要使紅隊與藍隊能針對AD環境的特權帳帳，進行研究。</p> <p>YCY也提到Responder這套能用來橫向移動的軟體，駭客會利用本機多點傳送名稱解析（LLMNR）、網路基本輸入輸出系統名稱服務（NBT-NS），以及多重廣播網域名稱系統（mDNS）等協定，進行欺騙攻擊，藉由受害電腦無法解析伺服器名稱，進一步駭客電腦能收到受害電腦NTLMv2的權杖，存取這臺電腦。</p> <p>至於駭客得手後想要將企業的機密資料傳出去，YCY表示他們會利用DNS或是ICMP隧道後門，像是DNSCat2、ICMPSH等，藉此躲避企業的網路資安設施，而駭客還會利用線上的免費服務做為中繼站，YCY舉出了APT37駭客組織為例，他們曾經以AOL即時通訊軟體、Dropbox、pCloud等，回避資安人員的追查。</p> <h2><strong>重新因應威脅態勢</strong></h2> <p>針對上述的攻擊鏈分析，YCY表示，企業主要可從檔案管理和網路環境的調整，減少遭受攻擊的危險。在檔案的管理而言，YCY認為企業必須禁止使用不安全的巨集和指令碼，像是HTA、VBS等。</p> <p>而對於網路的部分，YCY認為，企業可以利用公開工具檢查網路環境，並關閉未使用到的功能（例如LLMNR），或是找出不安全的ACL設定等。此外，她也認為資安團隊應該要研究上述的公開工具，而業者也應該將其特徵碼，加入到資安環境之中。</p> </div></div></div>
2019/3/21 03:10作者周峻佑https://www.ithome.com.tw/news/129486
【臺灣資安大會直擊】趨勢研究員披露假訊息最新威脅，經濟目的造假新聞氾濫，假影片開始猖獗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">趨勢科技資深威脅架構師Fyodor Yarochkin，在2019臺灣資安大會座談中，揭</span>露<span class="s1">社交媒體中假訊息的內部運作，並更新去年的研究報告（What’s new in 2018：Fake news and social manipulations）對假新聞的分析，更以現下時事為例，說明假新聞的未來趨勢，以及對社會造成的負面影響。</span></p> <p class="p1"><span class="s1">Fyodor Yarochkin表示，真假新聞的界線模糊，可因政治立場產生不同解讀。如俄羅斯總統普丁3月18號簽署「禁止民眾散播假新聞」的法令，若因散布不實言論違反公共秩序，將被處以罰款或監禁。此舉也引起國際媒體質疑，假新聞的防範是否成為政治手段、侵害人民言論自由？</span></p> <p class="p1"><span class="s1">Fyodor Yarochkin更以委內瑞拉為例，說明假新聞為政治服務的情形。委國政府阻止一般民眾取得敏感資訊，使人民連不上特定網路，為此，Google母公司Alphabet旗下的孵化器Jigsaw去年10月底推出應用程式「Intra」，加密使用者的Android手機和DNS伺服器的連結，讓手機自動指向Google的公共DNS伺服器，人民才得以自由造訪被封鎖的網站，現今服務更已擴及全球。</span></p> <p class="p1"><span class="s1">但相較於政府對消息的封鎖，更常見的是流動於各社交群媒體中的假訊息。操作者可利用各國地下市場尋找交易平台，而地下業者常見操作方式，包括請社群網紅轉貼文章（Follows）、善用口碑或操控輿論以達成目的（Astroturfing）、創造有影響力的言論（Influencing opinion）、特定事件的推廣（News and Events promotions）、罐頭式行銷訊息（Spam and scam campaigns）等。</span></p> <p class="p1"><span class="s1">Fyodor Yarochkin也觀察，操作者會以各國受歡迎的社群媒體為平臺散播消息。如台灣人習慣使用Line、Facebook，巴西人以WhatsApp替政治人物的助選；近來更有加拿大網民發現，在美國網路流量排行第五的Reddit網站上，因華為CFO孟晚舟被加拿大政府逮捕事件，開始出現許多受中國贊助的用戶，以宣傳活動壓制任何反中國的輿論，顯示中國的酸民工廠（Troll Factory）已經入侵Reddit，試圖以煽動或挑釁的言論引起衝突。</span></p> <p class="p1"><span class="s1">除了以文字作為假消息傳播媒介，假照片與影片的傳播將更具影響力。如3月15日紐西蘭恐攻事件、槍手殺人的直播影片，據國內媒體報導，雖然Facebook在24小時內移除上傳影片超過150萬次，但相關影像仍以各種形式在網路上流傳。Fyodor Yarochkin指出，兇手真正的目的可能在於加深民族間的衝突、宣揚白人主義，惡意的行為可能因網路引起更大的負面效果，這與假新聞的傳播目的相同。</span></p> <p class="p1"><span class="s1">而為了經濟目的而產出的假新聞，數量可能又較政治性假新聞更多。Fyodor Yarochkin表示，透過假新聞炒作股票、或欺騙性的宣傳行為，會讓更多民眾受害，且操作者的獲利更高，也是各國需要嚴加防範的類型；而近期社群媒體中也出現各種網站的假聯絡資訊，如Twitter貼文發現偽造的趨勢科技電話，民眾可能因撥打錯誤客服專線尋求Tech Support，被騙錢而不自知。</span></p> <p class="p1"><span class="s1">最後，Fyodor Yarochkin也提到，雖然社群網站已經成為假新聞的溫床，但當遇到不可抗力的災難時，仍然能迅速協助救援。例如WhatsApp成功幫助印度南部的Tamil Nadu，在去年颶風Gaja侵襲後，成為資訊整合平台，使救援團隊有效率的分散救援。</span></p> </div></div></div>
2019/3/20 23:19作者翁芊儒https://www.ithome.com.tw/news/129480
【臺灣資安大會預告】臺灣資安大會3月21日大會Keynote首度提供Live Demo以及資安脫口秀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安大會來到第三天，3月21日（四）的大會Keynote有了新嘗試，首先，由臺灣資安新創業者奧義智慧展示資安航母自動巡航，簡單的說，就是「紅隊攻擊模擬Vs. AI藍隊自動機器人」的攻防演練。奧義智慧共同創辦人叢培侃表示，現在的資安威脅預警已經多到無法消化、更遑論分辨真假，如果有一套人工智慧系統可以協助分析哪些資安預警，可以大幅減輕資安人員的工作負擔。奧義智慧團隊將會在現場展示，獨家研發成果透過端點與行為軌跡分析技術，搭配後端人工智能推論案情，實現資安領域的 CyCraft Bot 系統，並可透過語音方式幫助蒐集各端點感知情報、優先化各種告警，能自動化調查案情找出根因，並精簡資安應變的作業與時間。只不過，奧義智慧的現場Live Demo無法直播，只有到現場才看得到的好料。</p> <p>現場Live Demo除了奧義智慧外，還有臺灣重要的SOC業者安碁資訊也在現場針對工控系統的安全性做Live Demo。安碁資訊副總經理黃瓊瑩表示，許多關鍵基礎設施，例如油、水、電、交通等都有工控系統，駭客資安攻擊都會帶來極大的營運損失，但要如何確定這些工控系統的安全防護的確到位呢？安碁資訊累積過往的經驗，打造一套工控資安系統的Testbed（測試平臺），並在資安大會的Live Demo中，展示如何藉由實際實施攻擊與漏洞挖掘並測試、驗證各種資安產品的功能性與防護性等，並且現場示範駭客是如何入侵至工控系統環境後，並取得包括PLC、SCADA、HMI等ICS設備的操控權限。這場Live Demo將會現場直播。</p> <p>第三場則由日本最大電子商務業者Amazon資安官陳浩維擔綱演出，陳浩維是臺灣出身的優秀的資安專家，輔仁大學畢業，到美國卡內基梅隆還擔任亞馬遜全球漏洞獎勵計劃兼亞馬遜日本的資安負責人，也是該公司首第一位對外招募的Incident Response Engineer，曾帶領亞馬遜資安監控中心導入數位鑑識相關技術，後加入內部菁英團隊 Attack and Research Team 參與滲透測試和協助 Red Team 的建立。他首度針對臺灣觀眾分享亞馬遜如何善用駭客思維，把白帽駭客當成自己的夥伴，共同加強資安防禦能量。這一個場次因為日本亞馬遜政策規定，也無法提供現場直播服務。</p> <p>臺灣資安大會創舉，由奧義智慧共同創辦人邱銘彰上臺講Talk Show，資安史上第一次的資安脫口秀，從企業用戶的角度和資安廠商的角度，分享資安常見的怪奇現象，希望可以獲得大家的共鳴。資安脫口秀有現場直播。</p> <p>3月21日上午9：30分開始的大會Keynote，第一場奧義智慧資安航母自動巡航展演的Live Demo不直播，第二場安碁資訊工業控制Testbed與資安攻防研究的Live Demo，則有提供直播；第三場由日本亞馬遜資安官陳浩維分享的，如何透過白帽駭客力量強化資安防禦能量的演講，不提供直播；第四場由奧義智慧創辦人邱銘彰上臺表演的資安脫口秀，則有直播。直播網址：<a href="https://www.facebook.com/ithomeonline/videos/2116840961941499/">https://www.facebook.com/ithomeonline/videos/2116840961941499/</a></p> <p>此外，3月21日（四)「由大話資安x臺灣資安大會」特別節目的訪談播出，集結不同資安專家的訪談，也有不同播出時段。</p> <p>下午1點30分，集結播出微軟全球資安技術長Diana Kelley、精品科技總經理黃文昌以及矅祥網技協理郭姿良的訪談，直播網址：<a href="https://www.facebook.com/ithomeonline/videos/560495764777089/">https://www.facebook.com/ithomeonline/videos/560495764777089/</a></p> <p>下午2點30分，將會彙集前一天重要的Keynote簡短的訪談分享，包括：資安公司Opswat創辦人兼執行長Benny Czarny、卡巴斯基實驗室威脅研究副總裁蒂莫爾•比亞庫耶夫、Polyswarm首席資安長Ben Schmidt。以及臺灣行政院副院長兼國家資安長陳其邁的訪談。直播網址：<a href="https://www.facebook.com/ithomeonline/videos/384101452414140/">https://www.facebook.com/ithomeonline/videos/384101452414140/</a></p> <p>下午3點30分，則是最後精選訪談的輪播，微軟全球資安技術長Diana Kelley、奧義智慧共同創辦人叢培侃以及趨勢科技臺灣區中大型企業業務協理楊肇謙的精采訪談。直播網址：<a href="https://www.facebook.com/ithomeonline/videos/2408473332706396/">https://www.facebook.com/ithomeonline/videos/2408473332706396/</a></p> <p> </p> </div></div></div>
2019/3/20 20:04作者黃彥棻https://www.ithome.com.tw/news/129478
【臺灣資安大會直擊】微軟靠嚴格管理存取權限、身份保護確保資訊安全，還以機器學習對抗網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">「大家覺得是開車還是搭飛機比較可怕」，微軟全球資安技術長Diana Kelley在臺灣資安大會的第二天以「20/20網路：聚焦混合雲安全性」的主題演說中，一開始便以這個問題詢問大家。</span></p> <p class="p1"><span class="s1">大多數人的答案可能是飛機，原因可能是對巨大金屬在空中飛翔的安全疑慮，但Diana認為另一個答案則是控制性，這是因為大多數人駕駛自己的車，有一定的掌控權，但是坐飛機時可能會因為缺乏掌控權，不清楚誰控制這架飛機，因而帶來恐懼。</span></p> <p class="p1"> <span class="s1">Diana表示，雖然我們不清楚飛機的駕駛者是誰，但是卻可以信賴飛機駕駛員擁有的執照，企業對雲端的資訊安全存疑，如同搭乘飛機因為無法自己控制的恐懼感，或許大家可以像信賴飛機駕駛員那樣，信任你的雲端夥伴。</span></p> <p class="p1"><span class="s1">相較於20多年前，今天的網路安全樣貌正在快速變動，許多的交易透過網路進行，網路也成為駭客攻擊的新戰場。仍有企業對雲端安全存疑，但換個角度想，雲端也對企業的資安管理帶來新的想像。</span></p> <p class="p1"><strong><span class="s1">以可控性、可視性降低企業對雲的疑慮</span></strong></p> <p class="p1">Diana表示，<span class="s1">混合雲提供各種工具，協助企業監控和管理混合雲上的資產，包括以身份為基礎的自動化監控機制提高對混合雲環境的可視性及控制性，可以更敏捷、有效地應對網路威脅，以有效率的方式找到智慧財產及敏感資料。</span></p> <p class="p1"><span class="s1">然而，企業擁抱多雲及混合雲的趨勢發展，「企業往往要面對不同的雲端服務者、多個團隊，缺乏整體的安全體驗」。她不忘舉</span>薦<span class="s1">自家的Azure，在微軟混合雲架構中，微軟以Intelligent Security Graph(下圖，來源：微軟)來建構整合性的安全體驗，支援身份安全、雲端應用及資料、雲端基礎架構、裝置的安全保護。</span></p> <p class="p1"><span class="s1"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-03-20%20%E4%B8%8B%E5%8D%888_50_00.jpg" style="width: 600px; height: 324px;" /></span></p> <p class="p1"><span class="s1">有些企業認為上雲後，安全、隱私及法遵的責任都落在雲端服務商的身上，但她認為雲端安全應是一種企業和雲端服務商在責任分擔上的夥伴關係，從企業機房、IaaS、PaaS到SaaS，責任可能是企業自己全部獨力承擔或是一部份和雲端服務供應商共同承擔。除了責任分擔外，雲端服務供應商為企業分擔基礎資源管理，讓企業可以重新規劃基礎資源的運用，同時也能以更智慧有效的方式管理資訊安全。</span></p> <p class="p1"><span class="s1">而談到資訊安全思維，Diana也順道說明了新興的Cyber Resilience思維，不同於過去資安偏向保護所有資訊，阻擋任何資安攻擊，Cyber Resilience強調企業面對攻擊，可以快速發現回應及回復。</span></p> <p class="p1"><strong><span class="s1">嚴格落實資安管控、靠機器學習技術抵擋網路攻擊</span></strong></p> <p class="p1"><span class="s1">在微軟的數位化轉型過程中，現在已有95%的工作轉到Azure，仰賴雲端的資訊安全管理保護，但是仍有剩下的工作是在微軟自己內部資料中心內執行，而為了確保內部資訊安全，Diana分享了</span><span class="s1">微軟自己的做法，針對存取權限採取嚴格管理，例如對雇用的員工嚴格執行背景調查、每年進行人員的安全訓練，使用多因素身份驗證，最小化權限存取或以時間限制存取權，每年還有一次紅隊藍隊的資安攻防演練。</span></p> <p class="p1"><span class="s1">目前微軟在全球有超過100個資料中心，蒐集全球各地安全數據，每天約有6.5兆的訊息送到Azure，由微軟Intelligent Security Graph研析出資安洞察，每個月掃描12億個裝置、分析超過4000億封電子郵件、掃描超過180億的Bing網頁，每月處理至少4500億的身份驗證等等。</span></p> <p class="p1"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-03-20%20%E4%B8%8B%E5%8D%8810_07_31.jpg" style="width: 600px; height: 317px;" /></p> <p class="p1"><span class="s1">微軟也利用多層式的機器學習模型對抗網路攻擊(下圖，微軟提供)，從最上一層的本地端機器學習模型、行為偵測演算法，逐漸往下到雲端以元資料為基礎的機器學習模型、樣本分析為基礎的機器學習模型、大數據分析等等。透過機器學習模型，在2017年10月首次發現Bad Rabbit惡意程式的14分鐘內識別出來，防止攻擊擴大。</span></p> <p class="p1"><span class="s1"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-03-20%20%E4%B8%8B%E5%8D%889_47_54.jpg" style="width: 600px; height: 233px;" /></span></p> <p class="p1"><span class="s1">在企業的資訊安全管理上，她提出了建議，包括最小權限控管及身份保護、部署網路防火牆及DDoS防護、保護靜止/傳輸/使用中的資料、開啟威脅防護，調整混合架構上的工作負載，並且持續評估、擬定政策，隨時依照合規調整內部指導策略。</span></p> </div></div></div>
2019/3/20 22:37作者蘇文彬https://www.ithome.com.tw/news/129479
【臺灣資安大會直擊】前美國國家安全局資安掌舵手Philip Quade：關鍵基礎設施正面臨危急緊迫的關頭，政府及企業須…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>臺灣最大規模的2019臺灣資安大會今日（3/2）正式邁入第2天，今天上午是由前美國最高情報單位國家安全局（NSA）的網路安全負責人，也是現任Fortinet資安長Philip Quade擔任大會上首場Keynote講者。他在會中提出警告，包含臺灣在內的亞太區，正成為關鍵基礎設施風險的溫床，若不及早防範，只會讓駭客或敵人長驅直入到自己國家的核心，造成嚴重毀滅性的打擊。</p> <p>過去30多年都在美國NSA從事情報技術開發與防禦的Philip Quade，長年協助美國國防部情報部門擬定情資戰略並為國家網路安全把關。擁有許多豐富網路安全防禦與作戰經驗的Philip Quade，不僅擔任過NSA局長網路特別助理，還是NSA網路特遣部隊的負責人，一手規畫與擬定國家網路安全方針，更曾替白宮制定國家網路戰略和政策。直到兩年前退休後，Philip Quade加入Fortinet擔任該公司資安長，不只協助該企業制定網路資安政策，更將過去多年累積的安全防禦經驗，用來協助政府及企業用戶運用於各種關鍵基礎設施的資安防護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190320_094926.jpg" style="width: 600px; height: 338px;" /></p> <p>過去幾年，針對水力、電力、能源等民生關鍵基礎設施的網路攻擊事件頻傳，也促使各國政府將其列為首要優先處理的重大資安議題。Philip Quade就表示，企業或政府現在面臨的網路威脅和以前大不相同，駭客以往多基於金錢目的竊取企業機敏資料，現在攻擊的動機則是更加複雜許多，甚至連面對的對手攻擊方式，也和以前不同，不只是漫無目的、隨機式攻擊，更多是有著針對特定單一或複數國家或組織發動的目標式攻擊，藉此控制或癱瘓這些基礎設施，影響該國民生經濟，甚至造成經濟因此崩盤。</p> <p>Philip Quade更提出警告，現在正是危急緊迫的關頭，他呼籲，不論政府或企業都必須立刻採取行動，「確保基礎設施系統，可以提供更高可靠且具有更高安全防護措施，才能有效防止駭客攻擊」，甚至他也觀察到，亞太區正成為關鍵基礎設施風險的溫床，「尤其臺灣，因為以製造業為主，在生產線上配備許多工控OT系統或設備，一旦與IT網路相連，也很容易成為駭客攻擊的目標。</p> <p>然而，為何越來越多的關鍵基礎設施，都讓駭客可以如入無人之境，輕易取得系統的控制權呢？Philip Quade直言，這與關鍵基礎設施系統核心的OT（Operation Technology）系統有很大關係，例如SCADA監控及蒐集系統，或ICS控制系統等。他進一步說明，以往自成一個安全網路的工控OT系統，因為數位轉型浪潮，企業開始將IT與OT進行整合，以便從大量產線機臺資料蒐集做分析，提高營運與生產效率，「正因為OT網路開始連上IT網路，導致出現資安防護缺口，讓駭客有了可乘之機。」他說。</p> <p>甚至，也因為在機臺加入許多小型感測控制器，或是稱作工業IoT設備，用於蒐集或監控設備環境，但是這些裝置大多缺乏資安措施，駭客能夠輕易藉由這些裝置長驅直入進到OT系統，再由下向上感染整個基礎設施，甚至還反過來經由工控OT網路入侵企業IT網路取得資訊系統控制權。</p> <p>面對關鍵基礎設施的網路威脅，Philip Quade也提出他的因應之道，首先，在OT的安全策略上，他先將這些問題威脅分成三類，包括已知的已知威脅（known knowns）、已知的未知威脅（known unknowns），以及未知的未知威脅（unknown unknowns）。其中第一類如防毒產品上的已知惡意病毒;至於明知有攻擊但不知何時何地發生則屬第2種，最後一種，指的是這些還未曾發現過的未知風險，也是最難偵測得到。</p> <p>針對這幾類的資安風險，他也提出4種資安策略作法，像是建立能即時反應的新一代網路安全架構，以偵測更先進威脅，或是加入整合各種安全防護技術與工作流程的新機制，以及建立如軍事作戰常用的OODA Loop決策自動化機制，加快反應決策，做為持續性信任評估與立即反應。最後，第四個策略是，採用更先進威脅偵測技術或工具，如機器學習等，能經由大量惡意程式當作資料訓練，建立異常網路行為偵測的機器學習模型，來以解決更複雜網路安全問題，甚至是，這些還未曾發現過的未知的未知風險。</p> <p>在資安風險管理上，Philip Quade也提到企業可從威脅程度、漏洞大小、影響後果三個面向的風險指標，對自己的安全威脅風險程度進行分類，如低度風險、高風險，或是超高風險等，找出適合自己的緩解攻擊的最佳方案，將損害降到最低。</p> <p>另外，他也還舉了現在在OT界採用的一種風險判斷方式，就是基於後果基礎工程（ consequence based engingeering）方式，透過工程技術方式設計各種風險情境，用來判辨企業最容易受到哪類的攻擊威脅，以重點加強對這類威脅的防護及偵策能力。</p> <p>不只技術的整合，Philip Quade也同樣強調，OT人與IT人員之間的整合，他表示，人員不分網路安全、營運安全或是實體安全，都應彼此協同合作，才能以預防駭客趁虛而入。當然，他也指出，為了要達到這樣的協同作戰目的，得要有更好的IT與OT組織的管理作法。</p> <p>最後，Philip Quade也講到鞏固網路安全文化的重要性，他認為，每個國家都應有責任加以維護，建立友善的網路安全文化。他還進一步提出每個國家應遵循的三不一合的網路安全行為準則，包括，不應以經濟利益來竊取別國的機密、不能攻擊他國關鍵基礎設施、不應破壞供應鏈誠信，以及各國應就網路安全彼此合作。</p> <style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></div></div></div>
2019/3/20 17:03作者余至浩https://www.ithome.com.tw/news/129471
Fintech周報第91期：富邦人壽今年將力推保險科技，還要整合數位足跡追蹤保戶消費習慣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">03/16-03/22</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 富邦人壽 </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 保險科技</span></strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">富邦人壽今年將力推保險科技，還要整合數位足跡追蹤保戶消費習慣</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">富邦人壽在3月18日表示，隨著消費者行為的轉變，以及消費習慣的養成，網路投保勢必成為趨勢，加上主管機關逐步開放保險法令，他們也將持續發展多元化的保險商品，並以電子商務模式，讓消費者在一站式的介面購買保險， 2019年將持續導入保險科技（Insurtech），優化顧客在網路投保的體驗。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">另外，富邦人壽也會整合使用者在線上的數位足跡，進行大數據的比對與分析，來掌握網路投保保戶的消費習慣。根據金管會先前公布的2018全年網路投保情況，壽險業網路投保合計投保保費收入達18.95億元，其中，富邦人壽去年以6.64億元居冠。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 信任</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">資安大師Bruce Schneier大批區塊鏈沒那麼值得信任，以太坊與萊特幣創辦人親自回應</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Vitalik%20%26%20Charlie_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%94%9D%E5%BD%B1%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPG" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">國際知名資安大師Bruce Schneier在其部落格發表一篇專欄，以安全與信任的角度，質疑區塊鏈技術帶來的價值。他提到，區塊鏈要把對人與機構的信任，轉移到對技術的信任。但驗證與信任，是兩碼子事。加密貨幣交易所遭駭時有耳聞，Bruce Schneier認為，當區塊鏈沒那麼安全時，還是得回歸到傳統的信任機制。且區塊鏈並不能消除人們對中心化機構信任的需要，人們仍需掌控事物，並在區塊鏈系統以外進行治理。他更指出，任何區塊鏈系統，都須與其他傳統的系統共生共存。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">對此，以太坊創辦人Vitalik Buterin，以及萊特幣創辦人Charlie Lee在一場論壇中，回應了他們的觀點。Vitalik表示，區塊鏈基本上可解決部分信任問題，不過，一旦應用與實際世界的環境有相關時，區塊鏈是有它的限制或障礙存在，比如區塊鏈不會知道臺灣現在的幣值、溫度或其他實體環境中的事情，所以要看應用範圍而定。Charlie則認同Bruce Schneier的看法，他表示有些區塊鏈以外的資訊，的確需要由中心化系統，來輸入真實數據到區塊鏈上，到後來還是得相信中心化機構，確保資料的真實性。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 王道銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 大數據貼標</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">王道銀行用戶破26萬人，開始靠大數據貼標強化產品推薦</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%8E%8B%E9%81%93%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%94%9D%E5%BD%B1%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPG" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">全臺第一家數位銀行王道銀行最近揭露2年營運成果，目前已突破26萬用戶，在全臺數位銀行的市占率約3成。該公司董事長駱錦明表示，過去2年王道投資了20億元在軟體與硬體，以及招募數位人才，他的目標是今年營收增加5成。王道銀行數據經營部資深協理劉美美更揭露，王道從2018年中開始進行大數據貼標，數據來源包括客戶內部交易、數位通路、社群與客服的資料，不論是結構化或非結構化資料都能涵蓋。她指出，客戶貼標後，就像建立了Customer DNA，讓王道可以推薦適合客戶的金融產品或服務。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 樂天 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 點數</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">樂天市場擴大在臺生態系布局，臺日樂天點數下半年將可雙向轉換</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">台灣樂天市場宣布，臺日樂天市場的超級點數今年將可以雙向跨境交換，讓日本樂天超級點數可轉換在臺灣使用，強化兩地樂天生態圈，台灣樂天市場執行長羅雅薰透露，新的交換機制有望在今年下半年，正式上線，並會推出一個新的點數轉換介面。點數跨境交換更強化了O2O臺日生態圈，用戶兌換到的日本樂天點數，除了可用於線上的日本樂天自營服務，也可用於日本當地線下的實體店家，羅雅薰表示，目前已有超過120萬個通路據點可使用。等到臺日樂天點數實現雙向交換後，用戶在日本消費所累積的點數，也可轉換回臺使用，代表日本逾120萬個實體通路的影響力，將伸入臺灣。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">樂天發展點數機制不單只是為了提供客戶優惠，而是要累積點數背後的客戶行為資料，進而運用於設計種子型行銷策略。舉例來說，透過點數，樂天追蹤了用戶的消費習慣，以提供用戶個人化的樂天服務推薦，羅雅薰分享了一個樂天內部的調查數據，會員每多使用一個樂天服務，他的年貢獻就會增長2.5倍，她更進一步表示，樂天點數創造了縱向循環。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> ioeX </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈電視</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">新創ioeX與QUUBE合作開發具區塊鏈功能的電視，用戶可收看特定節目獲取獎勵</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_ioeX_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_ioeX.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣區塊鏈新創ioeX宣布與QUUBE聯手打造的區塊鏈電視（QuuMoney TV），預計搭載在日本電視品牌JVC的智能電視產品上，2019年下半年將正式推出。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">QuuMoney TV是採用Android TV Platform (Android 9.0) 運行的智能電視功能平臺，提供多項去中心化、點對點直連通訊的應用功能。觀眾可以藉由收看特定節目，來獲取獎勵，也就是QUUBE 發行的代幣Quu幣，而使用ioeX組網功能產生貢獻度時，還可獲得IOEX獎勵。用戶可利用Quu幣購買QUUBE的服務，比如觀看電影、折抵網路電視平臺月費等，未來也可到數位資產交易所兌換其他數位貨幣。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> PoS機 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 信用卡號</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">PoS惡意程式鎖定中小企業，潛藏至少4年</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">安全研究人員近日發現一隻終端機（PoS）的惡意程式，專門攻擊中小企業竊取信用卡資料，且至少已經流傳了4年之久。安全廠商Flashpoint近日發現到一隻名為DMSniff的惡意程式，已衍生出11隻變種，認為在此之前它可能最少從2016年就被大量用來攻擊餐廳、電影院等IT預算不豐，多數仍使用老舊及不被支援的系統，又有頻繁的信用卡交易休閒娛樂業，但直到最近才被發現。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">根據分析，DMSniff是藉由暴力破解SSH連線或掃瞄漏洞後加以開採，而植入這些企業的PoS機器中。之後它會持續觀察PoS機的交易，發現「目標」即開始爬梳終端機的記憶體，以尋找該筆資料的信用卡號。之後它會將這些資料連同周遭記憶體打包後，再傳送給外部C&C伺服器。此外，它還具有字串編碼（string-encoding）能力以躲避偵測。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Cosmos </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">定位為區塊鏈中樞的Cosmos Hub問世了</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">備受區塊鏈產業期待、定位為各種區塊鏈中樞的Cosmos Hub正式問世了。Cosmos Hub是全球首個基於權益證明（PoS）的公共拜占庭容錯（BFT）區塊鏈，它有3個階段性任務，先求網路穩定性，繼之支援交易，最終將允許跨鏈通訊。Cosmos網路專案是由瑞士非營利機構Interchain基金會委由Tendermint公司所建立的分散式網路，它由許多獨立且平行的區塊鏈所組成，每個區塊鏈都採用BFT協定，彼此間可透過共享的中樞互動，目標是建立一個區塊鏈網路，亦發行了自家的加密貨幣Atom。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Cosmos立志要解決區塊鏈在可用性、可擴展性及互動性上的問題。Cosmos Hub的任務則要藉高度可用性與安全性的驗證器，來強制執行區塊鏈的互動規則，以協調Cosmos區塊鏈網路萌芽時期的生態體系。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源：</span>ioeX <span style="vertical-align: top; font-size: 14pt;">；攝影／</span>李靜宜</p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">責任編輯／李靜宜</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1. </strong><strong>全國商總區塊鏈應用及發展研究所推教育工作坊，欲培養國內區塊鏈人才</strong><strong style="font-size: 14pt; vertical-align: top;"><strong>　</strong></strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;">2. </strong></strong></strong><strong>實名制區塊鏈Maxonrow落地臺灣，先與師大亞洲流行音樂數位科技研究中心簽署合作協議</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2019年3月</strong></strong></p> </div></div></div>
2019/3/20 17:15作者李靜宜https://www.ithome.com.tw/news/129434
Microsoft Teams用戶數超過50萬家，微軟以8項新功能慶賀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2019/03/19/microsoft-teams-experiences-intelligent-workplace/" target="_blank">微軟於本周宣布</a>，旗下的Microsoft Teams團隊協作工具已被全球逾50萬家組織所採納，而且連續兩年奪下Enterprise Connect活動的「年度最佳大賞」（Best of Enterprise Connect ），微軟並趁勢發表了8項Microsoft Teams新功能。</p> <p>於2017年3月問世的Microsoft Teams允許組織的員工透過聊天、會議或通話等形式交流，它除了已直接整合在Office 365的各種應用中以外，也能整合到其它第三方應用。</p> <p>在短短的兩年內，全球已有超過50萬家組織採用了Microsoft Teams，包括Fortune 100中的91家，並有150家擁有1萬名以上的使用者，現今Microsoft Teams已支援全球181個市場的44種語言。IT社群Spiceworks去年的調查即顯示，Microsoft Teams已是全球最受歡迎的協作聊天程式，以21%的市佔率擊敗Slack的15%。</p> <p>微軟也發表了即將在今年推出或已邁入預覽階段的Microsoft Teams新功能，包括客製化背景、內容攝影機、數位白板、即時標題與字幕、私人頻道、資訊疆界、資料遺失預防政策，以及實況活動等。</p> <p>其中，客製化背景允許用戶以企業的商標或辦公室環境作為會議或視訊背景。另也將在會議室系統Microsoft Teams Rooms中支援額外的攝影機，只要利用任何的USB攝影機就能捕獲白板上的內容，再透過微軟所開發的智慧捕獲能力縮放或強調白板上的內容。</p> <p>Microsoft Teams Rooms也即將支援微軟的Whiteboard數位白板。</p> <p>為了解決Microsoft Teams的與會人員可能有聽力上的問題，或有一方在吵雜的環境中參加會議，微軟準備在Microsoft Teams提供即時字幕功能，首個語言版本將是英文。</p> <p>正在測試中的私人頻道能夠限制可看到該頻道內容的團隊成員，以用來討論或傳送不適合公開釋出的內容。微軟說，這是用戶最想要的功能之一，目前微軟已於內部及與特定客戶展開測試，預計於今年上線。</p> <p>資訊疆界則可限制Microsoft Teams成員的交流與協作對象，以迴避組織內部的利益衝突。資料遺失預防（Data Loss Prevention，DLP）政策允許管理人員偵測及監控聊天室與頻道中的對話，避免機密資訊外流，目前已現身於支援Office 365 Advanced Compliance的Office 365及Microsoft 365方案中。</p> <p>已經上線的Microsoft 365實況活動功能讓任何人都能建立即時或隨選的活動，以與員工、客戶或合作夥伴交流，最多可容納1萬名觀眾，此一功能同時相容於Teams、Stream與Yammer。</p> </div></div></div>
2019/3/20 17:23作者陳曉莉https://www.ithome.com.tw/news/129473
Instagram推出結帳服務，讓消費者直接在IG購買商品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到年輕族群青睞的照片分享平台<a href="https://instagram-press.com/blog/2019/03/19/instagram-checkout/" target="_blank">Instagram（IG）於本周發表了全新的購物服務Checkout</a>，當使用者在IG上看到各家品牌所發表的產品時，只要在產品頁面上點選「結帳」（Checkout on Instagram），就能在IG上完成購買的程序，而不必再像過去一樣必須連結至商家網頁進行結帳。</p> <p>各家品牌業者經常透過IG展示最新商品，直接於IG程式中提供購買服務可望提高消費者的購買率。當點選「結帳」之後，消費者可再選擇尺寸、顏色，若是第一次購買則必須輸入消費者的姓名、電子郵件、帳單資訊與遞送地址，之後IG即會儲存這些資訊以方便消費者下次購物。而消費者也能直接於IG中接到出貨或遞送通知。</p> <p>目前該服務僅在美國試行，現有逾20家業者參與IG的封閉測試，包括Adidas、Nike、Burberry、MAC Cosmetics、Prada與Zara等。</p> </div></div></div>
2019/3/20 15:58作者陳曉莉https://www.ithome.com.tw/news/129468
卡巴斯基在俄控告蘋果App Store以不公平規則排擠對手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼Spotify後，<a href="https://www.kaspersky.com/blog/apple-fas-complaint/26017/" target="_blank">安全廠商卡巴斯基周二也宣佈</a>在俄羅斯控告蘋果利用App Store不公平手段限制對手發展類似的產品功能，以便為自己的家長控管軟體護航。</p> <p>卡巴斯基表示去年接到蘋果通知說他們的iOS 版Kaspersky Safe Kids app違反了App Store的app管理政策2.5.1條款，要求移除其中兩項功能。蘋果指Kaspersky Safe Kids app的組態資料檔違反App Store政策，因此必須移除app控制及Safari瀏覽器內容封鎖兩項功能，以便通過蘋果的審查。</p> <p>第一項功能是讓家長根據App Store年齡限制，指定哪些app孩童不可以執行。第二項則可隱私iOS裝置上的所有瀏覽器，讓孩童只能利用該app內建的安全瀏覽器上網，以避免接觸到不安全的內容。</p> <p>除了卡巴斯基外，其他提供家長控制的app AdGuard和Kidslox也有類似遭遇，前者最近被從App Store下架，後者則是無法提供更新版。卡巴斯基指出，它的Kaspersky Safe Kids app代管於App Store上，推出近三年來完全符合平台所有規定，因此忽然發生變化相當耐人尋味。他們認為這極可能和蘋果於iOS 12加入了Screen Time功能有關，它讓使用者得以監控他們對特定app或網站的使用時間，進而設定時間限制，基本上就是一個家長控管功能。</p> <p>卡巴斯基認為蘋果正在利用其作為iOS app唯一平台擁有者及監督者的特權，以限制性規則對其他家長控管app開發商造成不公平競爭。如此一來，競爭者將流失使用者、導致收入下滑，更重要的是使用者可能因未能使用重要安全功能而受害。</p> <p>卡巴斯基指出，蘋果作為唯一通道的擁有者透過自定規則，將霸權擴大到鄰近其他市場，也就是蘋果才剛涉足的家長控管軟體領域，該公司相信蘋果對其軟體豎立起經營障礙及實行歧視性作法，這行為已經違反了反托拉斯法。卡巴斯基數度和蘋果溝通解決，卻沒有獲得回應，因而決定向俄羅斯的反壟斷主管機關Federal Antimonopoly Service提出控訴。</p> <p><a href="https://www.ithome.com.tw/news/114797" target="_blank">2017年卡巴斯基</a>也曾因為Windows 10搭載微軟自家防毒軟體，又對其搞小動作而在歐盟及德國控告微軟。<a href="https://www.ithome.com.tw/news/116188" target="_blank">二個月後微軟讓步</a>，卡巴斯基最後撤告。</p> <p>這項官司也是近來第二家業者控告蘋果App Store排擠對手。<a href="https://www.ithome.com.tw/news/129325" target="_blank">英國串流音樂平台Spotify也向歐盟控告</a>App Store收取蘋果稅，並以不公平的管理手段限制其對手的功能更新或業務行為。</p> </div></div></div>
2019/3/20 16:21作者陳曉莉https://www.ithome.com.tw/news/129469
蘋果更新iMac產品線，效能是前一代的兩倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2019/03/imac-gets-a-2x-performance-boost/" target="_blank">蘋果更新了一體成型的</a><a href="https://www.apple.com/newsroom/2019/03/imac-gets-a-2x-performance-boost/" target="_blank">iMac</a><a href="https://www.apple.com/newsroom/2019/03/imac-gets-a-2x-performance-boost/" target="_blank">桌上型電腦產品線</a>，新一代的21.5吋iMac採用了6核心的英特爾第8代處理器，效能比前一代快上60%，27吋iMac則搭載6核心或8核心的英特爾第9代處理器，效能最高可達前一代的2.4倍。</p> <p>此外，不管是21.5吋或27吋的iMac皆搭載了AMD的Radeon Pro Vega繪圖處理器，在21.5吋的iMac上最多可提高80%的繪圖效能，27吋iMac也能提升50%的繪圖效能，可支援3D內容開發、具複雜效果的影片編輯，或是高解析度的遊戲設計等應用。</p> <p>21.5吋的iMac配備Retina 4K螢幕，依照處理器與硬碟規格不同而有1,299美元及1,499美元兩種售價，台灣售價分別為41,900元新台幣與47,900元新台幣。</p> <p>27吋iMac全都配備Retina 5K螢幕，根據處理器、Turbo Boost及儲存空間的不同則有1,799美元、1,999美元及2,299美元3種售價，台灣售價分別為57,900元、63,900元及72,900元新台幣。</p> <p>新一代iMac即將於下周上架，台灣蘋果官網的售價雖已出爐，但尚未開放訂購，也未公布出貨時程。</p> <p>此次蘋果並未更新入門款的iMac，21.5吋的入門款是iMac家族中唯一未採用Retina螢幕的版本，且配備較舊的英特爾第7代雙核心處理器，但售價也相對親民，維持1,099美元的售價，台灣售價則是35,900元新台幣，且即日可出貨。</p> </div></div></div>
2019/3/20 16:51作者陳曉莉https://www.ithome.com.tw/news/129470
Google踩進遊戲市場，可支援各種螢幕的遊戲串流平台Stadia今年問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於本周舉行的遊戲開發者大會（Game Developers Conference）上展示了遊戲串流平台<a href="https://www.blog.google/products/stadia/stadia-a-new-way-to-play/" target="_blank">Stadia</a>，宣稱將把遊戲機品質的遊戲送到Chrome/Android裝置及電視上，且預計今年就會先行在美國、加拿大、英國與其它歐洲國家推出。</p> <p><a href="https://9to5google.com/2019/03/19/google-stadia-announced/" target="_blank">Stadia</a>奠基在Google的資料中心與網路架構上，它能立即將遊戲傳送到電視、筆電、桌上型電腦、平板電腦或是手機上，目標是可遞送具4K解析度、每秒60個高動態範圍（HDR）畫面與環繞音效等高品質的遊戲，宣稱可擺脫傳統遊戲機與個人電腦在資源上的限制。</p> <p>負責Stadia的Google副總裁Phil Harrison表示，Stadia將讓開發人員可利用幾乎無窮盡的資源來打造他們夢想中的遊戲，它是一個集結伺服器等級GPU、CPU、記憶體與儲存能力的硬體堆疊，若再加上Google的資料中心架構，Stadia的發展速度將能跟上遊戲創作者的想像力。</p> <p>此外，Stadia還能跟YouTube等Google服務整合，例如當玩家在YouTube上觀賞《刺客教條：奧德賽》（Assassin's Creed Odyssey）遊戲時，只要按下「馬上玩」（play now）按鍵，幾秒內就能進入遊戲，完全不需下載或安裝。</p> <p>Google也替Stadia設計了專用的遊戲控制器，該控制器可透過Wi-Fi連結Google資料中心，控制器上有可捕捉、儲存及分享遊戲畫面的按鍵，亦內建Google Assistant與麥克風。</p> <p>Google已經寄出逾100組Stadia開發硬體予全球的遊戲工作室，相關硬體搭載2.7GHz處理器與16GB記憶體，運算效能為10.7 teraflops，高於Xbox One X的6.0 teraflops或PS4 Pro的4.2 teraflops。</p> </div></div></div>
2019/3/20 12:45作者陳曉莉https://www.ithome.com.tw/news/129466
iThome 2019年CIO大調查（上）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/911-39-feng_mian_gu_shi_-1_open-960x420.jpg?itok=RXgks6d-" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>超過7成企業持續展開數位轉型，也帶動IT預算從2017年的低潮，開始爬升，今年是連續第二年的預算正成長，而且IT投資成長率達到兩位數的10.5％，與2016年相當。資安、IT穩定和提升營運效率是CIO今年最重要的三大目標</p> </div></div></div>
2019/3/20 12:00未署名https://www.ithome.com.tw/article/129350
Cloudflare開源能夠檢測HTTPS攔截的函式庫MITMEngine
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cloudflare.com/monsters-in-the-middleboxes/amp/?__twitter_impression=true">Cloudflare釋出新資安檢測工具</a>，方便網站檢查TLS連線是否遭到攔截，檢測易受攻擊的用戶端，並在安全性受威脅或是降級時通知他們。新工具為檢測HTTPS攔截（HTTPS interception）的開源函式庫<a href="https://github.com/cloudflare/mitmengine">MITMEngine</a>，以及Cloudflare使用MITMEngine打造，用來監控自家網路，顯示HTTPS攔截統計資料的儀表板<a href="https://malcolm.cloudflare.com/">MALCOLM</a>。</p> <p>在最單純的HTTPS連接情況下，客戶端瀏覽器和伺服器建立TLS連接，以發送請求和下載內容，但在網際網路上，許多連接並非直接從瀏覽器連線到網站的伺服器，而是經過許多中介，這些中介可能出於惡意或是良善的目的進行HTTPS攔截。</p> <p><a href="https://jhalderm.com/pub/papers/interception-ndss17.pdf">Cloudflare引用了2017年的研究指出</a>，HTTPS攔截在網際網路上普遍發生，而且62％的流量經過中介後安全性下降，因此現在Cloudflare提供HTTPS攔截偵測工具，讓使用者知道網站連線是否遭到攔截。Cloudflare提到，檢測HTTPS攔截可以幫助伺服器辨識，可疑或是易受攻擊的客戶端，伺服器可以使用這些資訊，通知用戶他們的連線可能遭到降級或是存在風險。</p> <p>另外，內容檢查系統也會削弱TLS連接的安全性，當使用者的連線通過較舊的中介，則其連線就可能被降級使用較舊的TLS版本，這樣即便在瀏覽器端跟伺服器端都支援較新版本，但當伺服器端無從得知連線遭HTTPS攔截，就無法使用較新TLS版本的功能。</p> <p>Cloudflare釋出的MITMEngine工具，能夠精確的偵測HTTPS攔截，還具有強健的TLS指紋辨識能力。Cloudflare提到。不少TLS客戶端實作能被以唯一客戶端Hello訊息辨識，因此要辨識遭到截獲的HTTPS請求，伺服器可以查詢與請求的HTTP用戶代理相對應簽章，並檢查客戶端Hello訊息與該簽章是否相符，簽章不符就表示可以能是欺騙代理或是遭攔截的HTTPS。</p> <p>MITMEngine是一個開源的HTTPS攔截偵測器，為Go語言撰寫的函式庫，可用取得用戶代理和TLS客戶端的指紋，並回傳HTTPS攔截的可能性，以及用於識別攔截的要素。透過比較資料的差異，MITMEngine能夠精確地偵測HTTPS攔截，還能判斷攔截的時間以及可能使用的軟體。</p> <p>另一個可供大眾存取的儀表板工具MALCOLM，則顯示使用MITMEngine收集的HTTPS攔截統計資料，而這些資料來自Cloudflare的網路，Cloudflare將MITMEngine應用在他們的網路上，觀察網路請求的HTTPS攔截。</p> <p>Cloudflare表示，他們使用MITMEngine和MALCOLM兩個工具，能夠持續追蹤超過網際網路10％流量的HTTPS攔截狀態，以作為部署新的安全功能或是協定上的參考，也能密切關注可疑軟體。</p> </div></div></div>
2019/3/20 12:20作者李建興https://www.ithome.com.tw/news/129455
Firefox 66可為自動播放的影片內容消音、支援Windows Hello
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla即將<a href="https://blog.mozilla.org/blog/2019/03/19/todays-firefox-aims-to-reduce-your-online-annoyances/#block-autoplay" target="_blank">釋出最新版瀏覽器Firefox 66版</a>，新增自動播放聲音的網頁影片消音、減少廣告下載導致網頁內容跳動、允許跨頁籤搜尋與隱私搜尋、支援Windows Hello等功能。</p> <p>Firefox 66最大的改進是加入Block Autoplay的功能，防止網頁自動播放有聲影片。Block Autoplay可以偵測網頁中自動播放出有聲音的影片，並使之暫停播放，使用者如果想看影片，必須按下播放鍵。但如果網頁自動播放的是無聲音的影片，這項功能就不會啟動。使用者可<a href="https://www.mozilla.org/en-US/firefox/66.0/releasenotes/" target="_blank">在此下載最新版Firefox</a>。</p> <p>使用者設定白名單就能使網站免於Block Autoplay的封鎖。若是Netflix、Hulu或YouTube等允許持續播放影片的網站，也必須將網站加入白名單中。使用者只要按下網址列上內含小寫英文字母i的圈圈，即可找到「白名單（Permission）」，按下下拉式選單的「允許」即可。</p> <p>Google Chrome於去年的66版即已<a href="https://www.ithome.com.tw/news/122019" target="_blank">加入自動為影片消音的功能</a>，但是較不完整。Chrome預設是允許播放1000多個網站的影音，其他的才會封鎖。如果想全部封鎖，則必須在網址列輸入chrome://flags/#autoplay-policy找到自動播放設定，再將設定值改成「Document user activation is required」。</p> <p>此外，過去由於網頁的圖片及廣告下載較慢，會在這些物件下載同時造成先載入文字上下跳動，讓用戶正在看的內容跑掉。Firefox 66將加入瀏覽錨點，使網頁文字固定，不再被廣告及圖片打斷閱讀。</p> <p>最後，Firefox還強化二項搜尋功能。一為跨頁籤搜尋，Firefox 66加入tab overflow menu，按下用於新開頁籤的「+」號右邊向下箭頭，即可讓使用者跨頁籤搜尋網頁上的特定文字，不需再逐一搜尋。第二為隱私搜尋；針對有些用戶不希望搜尋關鍵字被搜尋引擎記錄下來，最新版Firefox中，啟動「隱私瀏覽Private Browsing」時開新頁籤時會看到有預設搜尋引擎（如Google、Bing、DuckDuckGo、eBay、Wikipedia、Twitter）的搜尋列。用戶可到「偏好設定」、「搜尋」中設定「預設搜尋引擎」。</p> <p>Firefox 66其他新增功能包括更清楚顯示網頁安全憑證的警告、改善擴充程式設定儲存的方式以加速網頁載入。最後，在Windows 10版中，Firefox也將支援微軟Windows Hello生物辨識功能。在Windows 10 19H1釋出後，Firefox用戶就可以以非密碼的指紋、臉部辨識或剛剛成為<a href="https://www.ithome.com.tw/news/129100" target="_blank">業界標準WebAuthn的FIDO 2硬體安全金鑰</a>來完成身份驗證。</p> </div></div></div>
2019/3/20 12:25作者林妍溱https://www.ithome.com.tw/news/129464
Windows 7、8防毒程式更新導致大規模當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟自家的防毒及防惡意程式軟體疑似病毒定義檔升級出包，造成包括Windows 7、8電腦及少數Windows 伺服器上的Windows Defender Antivirus、Endpoint Protection及Microsoft Security Essentials當機。</p> <p>本周陸續有用戶在<a href="https://social.technet.microsoft.com/Forums/en-US/18ab60a3-3b26-4a07-b68d-84085ce66ce5/scep-crashing-pcs" target="_blank">微軟Technet論壇</a>、<a href="https://www.reddit.com/r/windows/comments/b2vfpy/security_essentials_error_code_0x800106ba/" target="_blank">Reddit</a>上反映，他們系統上的微軟防毒軟體升級後傳出當機災情，並顯示0x800106ba的錯誤代碼，理由是一個過濾的驅動程式意外被遺漏。根據<a href="https://www.bleepingcomputer.com/news/security/microsoft-antimalware-crashing-with-error-0x800106ba-on-windows-7-and-8/" target="_blank">BleepingComputer報導</a>，受影響的系統包括Windows 7、8，以及 Windows Server 2003、2008 與2012等。唯Windows 10不受影響。</p> <p>這些用戶共同特徵是為其微軟安全軟體<a href="https://www.microsoft.com/en-us/wdsi/definitions/antimalware-definition-release-notes?RequestVersion=1.289.1521.0&Release=Released&Package=AM" target="_blank">升級病毒及間諜程式特徵定義檔1.289.1521.0版本</a>。微軟證實各地都有用戶反映本情況，但強調問題僅限於Windows 7及Server 2008。微軟承諾儘量在幾小時內釋出<a href="https://www.microsoft.com/en-us/wdsi/definitions/antimalware-definition-release-notes?RequestVersion=1.289.1573.0&Release=Released&Package=AM" target="_blank">1.289.1573.0版本的病毒加間諜程式定義檔</a>。</p> <p>在解決問題的定義檔釋出前，使用者可以按微軟<a href="https://social.technet.microsoft.com/Forums/forefront/en-US/330eab2e-651d-4023-98c4-e5b2a949fb42/revert-an-endpoint-2012-definition-update?forum=FCSNext" target="_blank">說明</a>回覆舊版定義檔，並關閉更新功能以封鎖有問題的定義檔案。</p> </div></div></div>
2019/3/20 12:35作者林妍溱https://www.ithome.com.tw/news/129465
2019臺灣資安大會直擊
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/zi_an_da_hui_zhuan_ti_zhu_tu_.jpg?itok=uP2AkLCA" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>進入第五年的臺灣資安大會，超過8000人報名，參加者來自20多國，2800家企業、450位資安長、資訊長與會，蔡英文總統更親自站台支持國內資安產業，超過80家全球資安品牌，展示最新資安防禦技術，這也是亞洲地區最受注目的資安會議，臺灣資安館更有33家國產資安業者大秀實力</p> </div></div></div>
2019/3/20 11:46作者王宏仁https://www.ithome.com.tw/article/129461
Google開源C/C++函式庫沙盒專案Sandboxed API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2019/03/open-sourcing-sandboxed-api.html">Google對外開源了Sandboxed API專案</a>，Sandboxed API能夠自動為C/C++函式庫產生沙盒，在熱門軟體函式庫產生可重用且安全的功能實作，以保護剩餘軟體基礎設施。Google還創建核心沙盒子專案Sandbox2，提供低階沙盒原語，可以單獨使用於隔離任意Linux程序。</p> <p>由於許多軟體處理外部產生的資料，像是將用戶的圖片轉檔，或甚至執行使用者產生的程式碼，過程通常存在不少的風險，而且<span style="white-space:pre"> </span>Google提到，當處理這些外部資料的函式庫太過複雜時，就有機會出現特定類型的安全漏洞，像是記憶體破壞臭蟲或是解析邏輯相關的問題。</p> <p>因此開發者為了預防問題發生，會使用沙盒技術來隔離這些軟體，以確保解析外部資料的程式碼，只能存取必要的資源，即便在最糟的情況下，駭客取得遠端攻擊控制權時，沙盒技術還是能包住他們，保護其他軟體基礎設施。沙盒除了需要能有效抵禦攻擊保護作業系統外，還必須要易於開發人員使用，然而某些沙盒解決方案，卻要求使用者花時間為每個專案重新定義安全邊界。</p> <p>為此Google發表了簡單好用的Sandboxed API專案，講求沙盒化一次就能重複使用。Sandboxed API是針對C語言撰寫的軟體函式庫實作，以高階觀點來說，Sandboxed API把沙箱化的函式庫，以及其呼叫者（Caller）分為兩個獨立的作業系統程序，主機二進位檔案以及沙盒。實際上函式庫呼叫則是由主機端API物件編組（Marshalling），並透過中介程序傳送至沙盒，在沙盒中由RPC stub解編並轉送呼叫到原始函式庫。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/sapi-overview.png" style="width: 500px;" /></p> <p>API物件以及RPC stub都由Sandboxed API專案本身提供，前者由介面產生器自動產生，使用者只需要提供沙盒策略，允許低層函式庫進行一系列系統呼叫，並同時準備好供存取和使用的資源。以Sandboxed API沙盒化的函式庫，將可以簡單地被重複使用在其他專案中。</p> <p>在Google中，不少團隊已經大量使用Sandboxed API和Sandbox2，由於目前只支援Linux，Google正在研究Unix的系統如FreeBSD、OpenBSD和macOS支援的可能性。而Google提到，Windows的移植是更大的工程，需要完成更多基礎工作。</p> <p>他們也在思考新的沙盒技術，由於隨著硬體虛擬化普及，把程式碼限制在沙盒虛擬機器，開啟了更多應用的可能性。另外，Google在設法改善建置系統，由於Sandboxed API現在正在使用Bazel建置所有內容包含相依檔案，而CMake顯然是更為友善的選項，因此更換建置系統為Google的優先工作之一。</p> </div></div></div>
2019/3/20 11:54作者李建興https://www.ithome.com.tw/news/129450
Nvidia推出鎖定開發者及自造者的AI電腦，售價99美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繪圖晶片大廠Nvidia於本周<a href="https://nvidianews.nvidia.com/news/nvidia-announces-jetson-nano-99-tiny-yet-mighty-nvidia-cuda-x-ai-computer-that-runs-all-ai-models" target="_blank">發表</a>了鎖定嵌入式裝置開發者、研究人員、自造者（DIY Maker）及學生的迷你AI電腦：Jetson Nano，售價為99美元，以協助開發人員打造具備人工智慧能力的裝置，另也推出可支援商業應用的Jetson Nano模組，售價為129美元。</p> <p><a href="https://devblogs.nvidia.com/jetson-nano-ai-computing/">Jetson Nano</a>搭載了64位元的4核心ARM CPU，以及128核心的Nvidia GPU，並內建4GB的LPDDR4記憶體，尺寸為80x100mm，有4個USB 3.0傳輸埠、1個MIPI CSI-2相機連接埠、HDMI 2.0連接埠、DisplayPort 1.3連接埠、Gigabit Ethernet傳輸埠、M.2 Key-E模組、MicroSD插槽與40接腳的GPIO，且可支援完整的桌面版Linux。</p> <p>它能用來執行各種熱門的機器學習框架，涵蓋TensorFlow、PyTorch、Caffe/Caffe2、 Keras及MXNet等，藉由導入諸如影像辨識、物件偵測、定位、姿勢估計、語義切割、影片強化或智慧分析等能力來打造自動化機器與複雜的AI系統，包括行動機器人、無人機、數位助理或自動化裝置等。即日起開放購買，使用者可透過經銷售或各家自造者網站購得。</p> <p>Nvidia自主機器總經理Deepu Talla表示，Jetson Nano使得大家更容易存取AI的能力，而且它的底層架構與軟體與美國國家級的超級電腦一致，可望帶來更多的創新，激勵人們打造下一波的偉大事物。</p> <p>相較之下，Jetson Nano Module則是個體積更小的模組，只有45x70mm，它具備處理器、記憶體、電源管理電話，內建16GB的eMMC儲存空間，允許開發人員直接將它整合到生產系統上，售價為129美元，預計於明年6月出貨，最小訂購量為1,000個。</p> <p>除了Nvidia之外，市場上已有其它業者推出強調AI的入門級運算裝置，例如英特爾在2017年發表的<a href="https://www.ithome.com.tw/news/115719" target="_blank">神經運算棒Movidius Neural Compute Stick</a>，或者是Google於日前揭露的<a href="https://ithome.com.tw/news/129182" target="_blank">本地AI平台Coral</a>。</p> </div></div></div>
2019/3/20 12:10作者陳曉莉https://www.ithome.com.tw/news/129462
89%的歐洲政府網站遭到廣告追蹤機制滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供符合歐盟ePrivacy及GDPR法令的線上追蹤及Cookie解決方案的丹麥業者<a href="https://www.cookiebot.com/en/hidden-tracking-of-citizens-on-eu-government-and-health-sector-websites/" target="_blank">Cookiebot指出</a>，<a href="https://www.cookiebot.com/media/1136/cookiebot-report-2019-ad-tech-surveillance-2.pdf" target="_blank">歐盟地區有超過89%的政府網站含有來自第三方的廣告追蹤機制</a>，而這些第三方業者的數量則多達112家，當中的「追蹤之王」則是Google。</p> <p>Cookiebot掃描了28個位於歐盟內的政府網站，發現其中有25個網站含有廣告追蹤機制，更準確地說是184,683個網頁含有追蹤機制。</p> <p>這些第三方的廣告業者會盡可能地散播廣告追蹤機制，當使用者造訪這些頁面時，業者就能於使用者的瀏覽器上置入獨特的標識符，藉以紀錄使用者的瀏覽行為，包括使用者所造訪的網站、停留時間、滾動頁面的速度與模式、點擊或徘徊的內容，將這些行為資料與其它資訊結合就能建立個別使用者的檔案。此外，業者之間還會透過同步Cookie、來交換使用者的標識符，意謂著它們將擁有更多的使用者數據，也許還能篩選出使用者的電子郵件、社交媒體帳號或真實姓名等。</p> <p>而這些未徵求使用者同意即植入廣告追蹤機制的第三方業者有52家在法國的政府網站上出沒，27家聚集在拉脫維亞，分別有19家及18家位於比利時與希臘，只有西班牙、德國與荷蘭的政府網站上沒有出現廣告追蹤機制。</p> <p>Cookiebot分析，政府網站通常不必仰賴廣告營收，而且更有遵循GDPR的義務與責任，然而它們的網站卻依然被廣告追蹤器給滲透。</p> <p>除了政府機關的網站之外，業者的足跡也出現在歐盟地區的公共衛生服務網站，有52%的相關網站被植入了廣告追蹤機制，從這些追蹤機制的聚集狀態也可看出業者的興趣，例如法國有一關於墮胎單一網頁就吸引了21家業者，德國有一攸關產假的單一網頁更聚集了63家業者。</p> <p>Cookiebot發現，在政府網站的前五大追蹤機制中，有3個屬於Google，鎖定公共衛生服務的前兩大追蹤機制都是源自Google，估計Google總計追蹤了歐盟地區82%的政府網站及43%的公共衛生服務網站的使用者行為。</p> <p>然而，目前上述都處於ePrivacy與GDPR法令的「模糊合法」地帶，Cookiebot則認為使用者應該有知情的權利，呼籲業者在進行追蹤之前最好先徵求使用者同意。</p> </div></div></div>
2019/3/20 12:15作者陳曉莉https://www.ithome.com.tw/news/129463
【臺灣資安大會直擊】衛福部：今年要強化醫療資安聯防機制，首波瞄準國內64家CI醫院
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「醫院有多少院長記得去年資安法剛上路？」衛生福利部資訊處處長龐一鳴今（3/19）揭露醫療資安政策的挑戰，他指出，臺灣雖然在去年端出資通安全管理法（即資安法），政府也已推行醫院評鑑制度，來把關醫療環境與設備安全、風險分析和應變的能力，「但這些還不夠，」龐一鳴表示，今年要強化醫療業的資安聯防機制，以關鍵基礎設施為本，透過嚴格把關醫療儀器（OT），來達到更嚴格的資安要求，而第一波就瞄準臺灣64家CI醫院（意指提供關鍵基礎設施的醫院）為主。</p> <p>他指出，近幾年來隨著科技發展，醫療業也不斷進化，從網路掛號系統、門急診系統的出現，再到電子病歷、雲端藥歷，甚至是醫療AI，前景看似美好，卻也隱藏資安隱憂，比如先前英國國民健保（NHS）遭受惡意木馬軟體攻擊、新加坡醫療系統遭駭、導致百萬人個資外洩等。</p> <p>龐一鳴提到，美國一份資安事件報告顯示，有四分之一的資安事件就發生於醫療產業。不只如此，衛生福利部關鍵基礎設施資安工作推動專案辦公室主任范仲玫更進一步表示，隨著更多醫療e化儀器和設備的出現，資安風險也跟著提高，正如國際知名的美國急救醫學研究所（ECRI）所發布的年度醫療技術危害，2014年至2017年時都還聚焦於電子病歷問題，今年卻直指醫療系統遠端遭駭將是一大危害，在在顯示e化儀器是醫療資安不可忽視的課題。</p> <p>為了強化醫療資安，也為了配合行政院2017年至2020年的「國家資通安全發展方案」，衛福部計畫從從原本就在施行的「醫療評鑑制度」和去年開始執行的「聯防機制」下手。醫療評鑑制度的目標，是要確保病人權益與醫療服務品質，其評鑑基準，涵蓋了醫院環境與設備的安全性、醫院風險分析與緊急災害應變的能力。</p> <p>其中一項評鑑指標，就是ISO 27001資訊安全管理系統（ISMS）認證。范仲玫表示，自去年資安法上路後，這項ISO認證就成為醫院不得不做的資安檢驗，必須按照PDCA（規畫、執行、檢查、改善）來循環管理。雖然ISO 27001今年才開始成為醫院必做課題，但其實自2009年起，就已有醫院為了保護電子病歷，而開始導入ISO 27001。另一方面，針對醫院病歷資料和資安的法律規範，除了醫院要自行辦理各自保護法的稽核，衛福部也將辦理去年上路的資安法稽核事宜。</p> <p>另一項衛福部今年要大力推行的醫療資安計畫，就是聯防機制。該機制鎖定擁有連網關鍵基礎設施（也就是中斷或停頓會影響醫療核心業務或病人安全）的醫院，來進行OT風險評鑑，也就是醫療儀器風險管理。為方便管理數量龐雜的OT，衛福部自去年開始，先將這些關鍵OT進行分類，像是生理監視與系統、麻醉機、呼吸機、數位X光攝影系統、CT和MRI掃描儀、心電圖儀器等17類，同時也畫定OT範圍，讓醫院可以進行OT盤點、排定OT資安檢驗的優先順序，比如現階段以連網且需將資料上傳至HIS、NIS或RIS為範圍，之後再擴大到較早e化且檢查量高的儀器設備。</p> <p>聯防機制的另一個重點，還包括建立資安訊息分享（ISAC）、緊急應變處理（CERT）和聯合監控（SOC）機制。衛福部去年已完成這些機制的建置。龐一鳴表示，聯防機制的意義，就是希望將OT資產盤點與風險評估輔助系統所產生的資訊，送至情資和弱點資料庫來進行分析，之後再將這些醫療設備的資安情報，輸入至「資安聯防系統」，集結H-ISAC、H-CERT和H-SOC進行深入分析，再回饋給CI醫院。</p> <p>他指出，聯防機制的「分母越大，情資也就越大。」雖然衛福部希望所有醫療院所都能加入，但首波重點會從國內64家CI醫院開始。范仲玫提到，目前CI醫院中，已有42家加入H-ISAC機制，並完成IT資產資訊的安全防護，但就OT資產資訊安全防護部分，她坦言，目前還無法確認CI醫院的執行情形，而這也是衛福部今年的目標，除了與其餘22家CI醫院討論加入聯防機制，還要落實醫院對OT的盤點與風險評估。文◎王若樸</p> </div></div></div>
2019/3/20 01:03作者王若樸https://www.ithome.com.tw/news/129459
【臺灣資安大會直擊】臺科大特聘教授吳宗成：董事會與企業高階主管一定要具備資安思維，才能保護企業創造的利潤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資安很重要，不只是技術問題，還是涉及企業組織關鍵的一環。」這是臺灣科技大學資訊管理系特聘教授吳宗成，在今天（3/19）於2019臺灣資安大會演講的開場白。</p> <p>吳宗成認為，董事會與企業高階主管，都應該要具備同樣的資安思維，這樣與與第一線員工溝通時，彼此之間才會有完整的對話，才能真正解決資安問題。</p> <p>要建立資安思維，他建議，得先了解何謂「系統」與「資安」。系統有五大要件，包括資料、軟體、硬體、人員與程序。「人員與程序，在資安上最容易忽略。」吳宗成提到，許多資安問題，其實是發生在人員與程序這兩要件，從這兩項執行資安的防備，是這五大要件中，較為容易的切入點。</p> <p>舉例來說，在人員上，像是系統發展者、系統管理者、端末使用者等企業人員，都得有資安的心態。或像程序面，不管是正常程序（front-end）、例外程序（back-end），也都得有一套資安規範要遵循。</p> <p>董事會得了解，系統一般又分為三大類型，分別是資料導向（data-oriented）、服務導向（service-oriented）以及混合式（hybrid）。吳宗成解釋，以資料導向的系統，是以資料為核心主體，由人員遵循程序，執行軟體驅動硬體，對資料做存取。</p> <p>而服務導向的系統，則是以人員為核心主體，將儲存在不同硬體，以及散落在各地的資料，透過軟體分析，經由授權的程序，提供人員服務，這樣的系統就是所謂的大數據分析，他說。</p> <p>混合式系統，則是如資料即服務（DaaS）、資訊即服務（IaaS）。此外，現在的系統的架構，大多是虛實整合，且在萬物聯網的時代，都透過雲端連結在一起。</p> <p><strong><span style="color:#0000FF;"><span style="font-size:24px;">建置資安生態系統，保護創造的利潤</span></span></strong></p> <p>有了系統的概念，接下來，企業董事會與企業高階主管就可以來了解什麼是資安（Informtion security），最初的定義是保護資訊與資訊系統，之後才出現了Cybersecurity 一詞，將保護電腦與電腦系統，擴大到網路上所採取的方法。</p> <p>吳宗成表示，從2000年開始，大家談得是無線網路安全，包括3G的資安、雲端安全、行動安全。2010年到2015年，在談普及計算安全，包括4G資安、物聯網安全、隱私與個資保護、智財保護與數位鑑識。而從2015年2020年，要步入的是人工智慧安全與5G資安。</p> <p>「什麼都是跟資安有關，最後會抓不住它的邊，所以一定要找出它的範圍，而這範圍就是資安生態系統（Cybersecurity Ecosystem）。」吳宗成強調，資安生態系統最核心的是資料的安全，接下來是ICT安全，再來是Cybersecurity。</p> <p>而建置資安生態系統最大的兩項要件，就是先前提到的人員與程序。企業要經營資安，不只要投入對資料、軟體與硬體的保護，還得投入程序的保護，以及人員的資安教育。</p> <p>吳宗成也指出，資安生態系統的價值定位，「建構系統的目標，就是要創造最大利潤，但是建構資安的目標，不是創造利潤，而是保護創造的利潤，維護資料、資訊與服務價值性，讓損失降到最少。」這是投入資安工作的人員，要有的心態，因為在資安的世界裡，少輸就是贏家，他說。</p> <p><span style="color:#0000FF;"><strong><span style="font-size:24px;">決策、管理與操作層級，都是資安生態系統重要環節</span></strong></span></p> <p>然而，要如何建立資安生態系統？吳宗成建議，首先，一間企業包括決策層級（董事會成員、資安長）、管理層級到操作層級，都是資安生態系統的環節之一。他提到，決策層級在面對資安，不是給人、給錢就結束，而是要先了解資安，才能推動維護他們所創造出來的利潤。管理層級，則強調在人才的應用。操作層級，則是強調程序的遵循。</p> <p>不同層級的利害關係人，在這資安生態系各自扮演不同角色，並有安全、成本、效能三種不同的因素互相衝撞，不同層級的人，要考量的因素也不相同，所以也需要找到平衡點，經過互相妥協才能建構出資安生態系統。</p> <p>「資安是看不見的戰爭。」吳宗成認為，決策層級得思考資安部署的範圍有多大？而投入資安的必要成本，更包括了軟硬體、程序與人員，還有在企業內部推廣資安教育與訓練。</p> <p>許多企業決策者常問資安的投資報酬率有多少，但吳宗成認為，對於大多數的企業來說，「資安是無法量化的間接價值」，例如企業形象與信任度。企業長期以來形塑的信任度與賺取的利潤，可能會在一次的資安事件就足以消失。</p> <p><strong><span style="font-size:24px;"><span style="color:#0000FF;">如何落實資安三道防線，善用三類資安人</span></span></strong></p> <p>吳宗成也指出，資安有三道防線，第一道防線是技術問題，就需交由技術人員解決，通常他們可以解決70％～80％的資安問題。第二道防線是管理，可以解決20％～30％的資安問題。最後的第三道防線，則是透過企業內部的法令規範，訂定員工的責任歸屬問題，這樣的作法，是要去規範員工未能善盡責任的資安問題，以及遏止尚未發生的潛在資安問題。</p> <p>而談到資安的責任與信任，吳宗成提到，不同層級關注的部分也會不一樣。例如，決策層級關注的重點是成本，操作層級的關注點是安全。但不管是哪個層級，在遇上資安事件前，都得遵循規範，而有所作為。而為了確保是否落實作為，就得透過內部控管加上外部稽核。在發生資安事件後，則是要處理碰上的風險與衝擊分析。</p> <p>他更認為要善用資安人，例如在資安技術議題，就得善用技術型、應用型的資安人，前者是具備攻擊及防禦能力的資安技術專家，後者則是能善用既有的資安技術能量，強化與建構安全的應用場景，或是降低應用領域會面臨到的資安風險。而在資安非技術議題，則要善用應用型、政治型資安人才，吳宗成解釋，政治型資安人才能夠預知未來資安風險，引領政府、企業制定資安政策與戰略部署。這兩類型人才的協作，主要是能加強政策與法令的遵循性，以及異值參與角色之間的調和性。</p> </div></div></div>
2019/3/20 01:37作者李靜宜https://www.ithome.com.tw/news/129460
【臺灣資安大會直擊】臺灣資安產業標準發展現況大公開，已有5家認可實驗室正式上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府如何帶頭促進資安產業發展，是臺灣各界關注的一大焦點。在19日到21日舉行的2019「臺灣資安大會」，今年特別安排了一系列資安產業發展的主題論壇，包括資安產業標準發展、資安新創交流，與臺灣資安國際拓銷，並分別於大會中的臺灣資安館現場接連三天召開。</p> <p>今日（19日），首先進行的資安產品標準論壇中，全面揭露了政府在物聯網資安產業標準發展，以及檢測認驗證制度上的實際作為。</p> <p>事實上，在去年6月，經濟部與NCC已經共同發布了物聯網設備資安驗證標章制度，並先從網路攝影機切入，制定出相關資安規範與檢測制度。今日，經濟部工業局電子資訊組組長林俊秀公布了最新現況，國內現在有5家測試實驗室通過TAF認可，並已邀集16家安防業界廠商，參與資安檢測的輔導。</p> <p>對於物聯網資安產業標準的制訂，他們也預期將逐年增修，例如，在影像監控系統資安標準方面，去年不僅是發布第2版網路攝影機（IP CAM）的資安標準，也釋出了第1版的影像錄影機資安標準，以及網路儲存裝置的資安標準，並且還有智慧巴士車載資通訊系統資安標準（車載機、智慧站牌）。林俊秀並表示，今年預計將會再新增兩項物聯網標準。同時，他強調，需建構一個物聯網資安生態體系，才能一併推動資安檢測的產業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/R0238430s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/R0238430s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong>幫助臺灣電子網通產品提升資安品質</strong></p> <p>關於網路攝影機的資安問題，近年我們已經不時聽聞，包括像是殭屍惡意程式駭入數十萬支網路攝影機，更值得關注的是，前幾年還發生美國FTC控告臺灣網通大廠的網路監視器、攝影機等產品，具有嚴重的安全性漏洞。</p> <p>談到網路攝影機的資安事件，林俊秀也特別指出，像是2016年殭屍網路Mirai，臺灣名列被攻擊國家第8名，最近還有蘋果Mac電腦上發現有Fruitfly惡意程式，會自動開啟Webcam遠端竊錄截圖的狀況，以及民眾購買網路攝影機觀看家中情況，反被駭客入侵並偷窺隱私等。</p> <p>對此，林俊秀一開始也點出了產業議題與挑戰的三大面向，包括新興資安事件頻傳、物聯網資安拉警報，以及資通產品國際輸出受阻。在此局勢之下，物聯網設備資安產業標準與檢測認驗證，就成為了政府看重的一大焦點。</p> <p>畢竟，臺灣常是駭客攻擊熱點，但也造就我們成為資安實測場域，而且，臺灣製造生產的網路攝影機，其實占了全球產品比重達30%，若能透過標準、制度來帶動資安水準，也將進一步強化我國產品在國際上的競爭力。</p> <p>到底，臺灣在物聯網設備資安產業上，政府在推動策略與作法又是如何？林俊秀進一步解釋，他們主要分成三階段來進行，分別是規畫期、推廣期與成熟期。其中，推廣期的重要目標，首先就是要推動國內物聯網資安測試實驗室成立，以完備認驗證制度，同時也會輔導製造商產品取得認證，進而推動國內公部門、場域導入使用。未來，更希望的是，能夠推動產業標準逐步成為國家標準，並促成國際標準相互認證。</p> <p>就現況而言，關於物聯網資安測試實驗室的成立，以及輔導製造商產品取得認證，都已經有不小的進展。林俊秀指出，為建構物聯網資安檢測生態體系，目標是至2020年度至少有9家通過全國認證基金會（TAF）認可，而去年就已經有4家通過，包括電信技術中心、安華聯網、台灣電子檢驗中心與勤業眾信，在今年2月，行動檢測成為第五家通過。</p> <p>在製造商取得認證方面，去年底奇偶科技的兩款網路攝影機獲頒物聯網資安標章合格產品證書，型號分別是GV-BX2700-FD、GV-MD8710-FD。而政府為進一步推動這項資安標準，因此也計畫輔導製造商產品取得認證，主要透過安防協會與資安服務團輔導，以幫助取得資安標準認證，進而提升本土產品資安水準，目前也已輔導了20件影像監控系統，共16家業者，預計在上半年就會有新一波認證產品。</p> <p>當然，更值得關注的是，若是未來中央部會或地方政府，將影像監控系統資安標準，納入採購規範及共同供應契約，所創造出來的需求也勢必讓資安檢測生態體系變得完備。而且，後續也將公告出通過資安標準認證的產品，作為一般民眾採購時的參考，進一步提升民眾消費認知。</p> <p>至於最後的目標，林俊秀也表示，就是要打造臺灣物聯網資安檢測驗證機制，推動產業標準逐步成為國家標準，促成國際標準相互認證。</p> <p><a href="https://s4.itho.me/sites/default/files/images/R0238428s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/R0238428s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p> </p> </div></div></div>
2019/3/19 23:23作者羅正漢https://www.ithome.com.tw/news/129458
【臺灣資安大會直擊】缺乏資源怎麼做資安？博格企業資安讀書會創辦人：善用免費工具協助盤點與偵測威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>小型企業普遍缺乏資源，面臨當今不得不做資安的嚴峻情勢，負責IT的員工可能就要臨危受命，承接相關的工作，成為一個「資安人」。然而，此時企業的資訊安全，可能必須從零開始打造，能夠因應的預算卻極度有限的情況下，要如何架構起企業的資訊安全呢？博格（Borg）企業資安讀書會創辦人X1在3月18日舉辦的臺灣資安大會中，特別針對需要執行的層面，介紹實用的免費開源工具，指引IT人員踏入資安防護的領域。</p> <p>X1指出，開源或是免費的工具，與商用產品之間最大的差異，就是「壞了要自己修」。因此，想要導入這些工具來解決資安問題，首先，IT人員必須花時間研究如何使用與部署，而日後軟體更新時，也要自己留意開源工具與其他元件的相容性問題。此外，由於不像商業產品已經將常見應用系統的資料正規化，也沒有背後提供技術服務的團隊，因此，各種設備的事件記錄，勢必也要自己處理、分析。雖然許多開源工具沒有軟體授權的費用，然而IT人員要建構以這類軟體架設的資安防護網，必須要有自己耗費精力深入研究的心理準備。</p> <p>誠如前述開源工具存在上述應用的門檻，但X1表示，其實小型企業所要因應的資安問題，許多免費的開源工具就能做到。因此，找出企業需要解決的難題，並尋求能符合自身需求的軟體，便可在極低的預算之下解決難題。</p> <h2><strong>從攻擊階段歸納企業資安需求</strong></h2> <p>在企業中常見的資安需求，X1指出，可以從攻擊的事前預防、事中偵測，以及事後因應等3大階段來看－－從事前的預防措施而言，IT人員首要任務，就是必須盤點網路環境中應該列管的資產，再者，則是網際網路的出入口管制，以及企業的雲端服務整合等。而企業對外提供的服務又有那些，還有公司的伺服器狀態，是否出現異常登入的情形？</p> <p>一般來說，企業所需因應的攻擊，包含網站可能會面臨分散式阻斷服務（DDoS）攻擊，或是端點電腦遭到入侵，需要留下跡證的情況。再者，IT人員也可能會懷疑，網站是否成為內部環境被入侵的破口。</p> <p><a href="https://s4.itho.me/sites/default/files/images/X1-CyberSecurity-Problems.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/X1-CyberSecurity-Problems.jpg" style="width: 600px;" /></a></p> <p>更進一步，則是有關事件發生之後，資安事件的通報和處理，還有就是尚未收集的應用程式與資料庫事件記錄，日後要怎麼補救等等。</p> <h2><strong>盤點仍是資安的首要任務</strong></h2> <p>不過，在建置資安防護的架構時，還是應該從事前和事中開始著手，而這個部分的落實，企業能夠及早接收有相警示通知，相對的投資效益也比較高。X1指出，第一件事還是要界定需要管理和防禦的範圍，因此他提供的第一套實用工具，便是網管軟體OCS Inventory，IT人員透過這套軟體，進而了解所列管的電腦有多少、執行的作業系統種類，以及搭配的硬體等資訊。</p> <p>在設備的盤點之外，網路情形的清查也同樣重要，X1推薦The Dude，企業內部網路設備只要有啟用SNMP協定，就能列入管理，並且可自動產生網路拓撲圖。</p> <p><a href="https://s4.itho.me/sites/default/files/images/X1-CyberSecurity-TheDude.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/X1-CyberSecurity-TheDude.jpg" style="width: 600px;" /></a></p> <p>有了端點裝置和網路環境的盤查結果後，X1說，接下來要歸納資產的重要程度，像是與公司營運相關度極高的設施，其重要性也就較高，他認為企業可以參考新竹市稅務局在2009年制訂的範例Excel表單，藉此權衡每項資產的重要程度。X1舉例，像是含有個資的資料，一旦外洩企業所面臨的罰款極高，因此對於企業而言，也是要謹慎保護的資產。</p> <p><a href="https://s4.itho.me/sites/default/files/images/X1-CyberSecurity-Excel.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/X1-CyberSecurity-Excel.jpg" style="width: 600px;" /></a></p> <p>另外，企業對外部網路開放的連接埠，情況是否也在掌控之中？在這個部分，X1選用了知名的網路偵測軟體Nmap，他說自己在使用時，會讓Nmap每個月排程定期掃描，然後比對這個月與ACL表格，便能得知是否出現不當使用的情況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/X1-CyberSecurity-Nmap.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/X1-CyberSecurity-Nmap.jpg" style="width: 600px;" /></a></p> <p>而對於伺服器狀態的掌握，X1特別推薦Zabbix，理由是唯一能做叢集式管理的免費解決方案。只是要留意的是，要從Windows事件記錄ID監控是否出現異常登入的情形，並非所有的開機事件ID都是使用者登入的行為，因此要特別小心，以免太多記錄與警示通知，造成自己麻木而失去原來監控的用意。若是自動化防範機器人暴力破解網頁應用程式或是遠端登入的現象，也可以選用Fail2ban（支援Linux作業系統）和Wail2ban（支援Windows作業系統）。</p> <p>若要防範網站遭受分散式阻斷服務攻擊，X1認為，Imperva Incapsula和Cloudflare等雲端服務，就是資安人員的好朋友，假如資料存放在企業內部，可採用Nginx建置網頁應用程式防火牆。</p> <p>要是企業無法購置防火牆，X1表示也有免費的可選，像是Endian UTM能夠支援企業環境常見的AD與LDAP。</p> <p>最後X1提醒一件事，一旦遇到攻擊，企業應該要先保留證據，再恢復電腦到正常狀態，而非馬上重灌。因此，他建議採用Helix數位鑑識包，進行採證。而在運用這些免費工具時，X1也鼓勵IT人員，可以與TDOHacker、UCCU，或是博格企業資安讀書會等社群交流，進而改善自己的做法。</p> </div></div></div>
2019/3/19 22:20作者周峻佑https://www.ithome.com.tw/news/129457
【臺灣資安大會直擊】前警政署資訊室主任分享培育人才秘訣，要實踐資安自主
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">前內政部警政署資訊室主任、現任金融機構顧問的蘇清偉，在2019臺灣資安大會座談中，分享一年來警政資安的人才培育與防護工作。他表示，警政單位以四個面向保護資訊安全，分別是成立警政資安團隊、培育資安人才、建立區域聯防體系與警政資安自主，目的要讓警政單位具備即時防護資安事件的能力，更要朝資安自主目標邁進。</span></p> <p class="p1"><span class="s1">在人才培育方面，為因應資通安全管理法的通過，以及資安即國安的政策趨勢，警政署整合內部資源成立資安團隊，共培訓18名分散各警局的資安人才，蘇清偉更以18銅人自稱，讓他們輔助網路犯罪偵查、處理與研析資安事件。重大資安事件的研析，包括勒索病毒WannaCry及Petya的防範、Fireball惡意程式的防護、無線網路WPA2加密協議的漏洞處置、國內使用連網DVR的資安問題預警等。</span></p> <p class="p1"><span class="s1">除了以國內外重大資安事件作為研析題材，防患於未然，警政署也舉辦資安研討會與國際交流、鼓勵培訓人員取得相關技術證照，將技術實際應用於各種資安威脅；此外，警政署也鼓勵團隊參加內外部比賽，包括2018台灣IBM科技論壇-駭客奪旗攻防賽、台灣雲端安全聯盟-資安攻防電競賽等，以比賽刺激創新思考。</span></p> <p class="p1"><span class="s1">蘇清偉表示，在專業人才的培育之外，也要對各機關建立區域聯防機制。警政署使用開源安全維運平臺OSSIM，每日派送偵測規則至各警察機關網路，針對威脅來進行告警，事件發生之後可以監控處理情形與結果。而根據統計資料，警局以一般木馬程式為最大宗的攻擊類型。</span></p> <p class="p1"><span class="s1">OSSIM平臺也可進行弱點掃描，由團隊成員執行，歸納出五大常見弱點，包括未關閉HTTP methods、使用有漏洞之網頁程式版本、Windows伺服器有未修補的漏洞、使用有漏洞之OpenSSL版本與未保護可能有機密資訊的備份檔，如.old、.bak等。</span></p> <p class="p1"><span class="s1">在發現資安攻擊事件後，更重要的是分析原因。蘇清偉表示，因為外勤單位常因辦案所需收取民眾提供資料，可能因民眾使用隨身碟而中毒；或瀏覽與偵辦案件相關網站（如網路援交、色情訊息等）而觸發偵測事件；又或者資訊系統遭外部攻擊、防火牆設定域名不當等。而警政署也將不定期分享防護內容，讓行政院各部會也能受惠。</span></p> <p class="p1"><span class="s1">在落實警政資安自主的部分，由團隊成員執行警察機關內部資安健診、網站滲透測試，並開發警政端點更新檢測軟體，目的將政府組態基準（GCB）設定至局內個人電腦，讓各機關的資通訊終端設備有一致性的安全設定（如：密碼長度、更新期限等）。而警政端點GCB系統，可查詢各電腦作業系統更新狀態、檢測瀏覽器設定狀況，是否有不合乎GCB規範的情形。</span></p> <p class="p1"><span class="s1">蘇清偉表示，四個面向中最重要的還是人才培育，「沒有人沒辦法做事情，也要有場域讓他們提升技能。」18個人散布在各警政單位中，以各自的專業解決各類型資安問題，未來更要走向資安自主，利用防護軟體蒐集資料、建立資料庫加以分析，或開發程式將資料加值運用。</span></p> </div></div></div>
2019/3/19 19:45作者翁芊儒https://www.ithome.com.tw/news/129453
臺灣資安大會3月20日大會Keynote，關注關鍵基礎設施以及企業內網安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:16px;">今年舉辦第五屆的「臺灣資安大會」，在3月20日（三）第二天大會議程上午9點30分則由Fortinet資安長Philip Quade打頭陣，主要是從我們日常生活中的各種關鍵基礎設施的安全性談起。不管是政府或企業，現在都已經是高度依賴各種數位化工具，不管是數位國家或者是數位商業模式，都必須高度仰賴實體的關鍵基礎設施所提供的各種服務。當越多人關注或依賴的服務，就是駭客鎖定攻擊的對象，這些關鍵基礎設施服務業者在面對這樣的挑戰時，因為不知道該從哪裡開始，所以也不知道該從哪裡結束；再加上，沒有任何單一個人或組織，可以解決這樣的問題，也使得，數位國家的致命弱點就是關鍵的基礎設施。而最新的則是，亞太地區已經成為關鍵基礎設施風險的溫床，唯有具備足夠的自保能力，才能夠面對來敵對國家對我們帶來的威脅。</span></p> <p><span style="font-size:16px;">不只是關鍵基礎設施的安全值得關注，當越來越多特定產業，例如醫療、製造業，以及關鍵基礎設施服務提供者等，也開始面臨傳統OT系統開始對外連網，除了帶來網路的便利，也同時帶來網路時代的資安風險。因此，中華資安國際副總經理游峯鵬則呼籲企業應該要更加關注IT與OT的安全性。</span></p> <p><span style="font-size:16px;">除了關鍵基礎設施以及OT環境所面臨的企業資安風險外，有更多企業必須將關注意從對外防護的角度，轉變成對內關注，就如何精品科技資訊安全部資安顧問陳柏榆所言，「只要有心，人人都可以是駭客」，像是，研發團隊利用IDE（整合開發環境）特殊工具和燒錄軟體，就可以把重要的公司機敏資料藏在工業開發板中，加上這樣的技術並不難學習的情況下，企業必須要更能精準掌握內賊（Insider）還是外部駭客（Hacker）入侵所帶來的損失。</span></p> <p><span style="font-size:16px;">企業營運除了各種法遵的要求外，資訊安全治理的落實程度，已經成為新型態評估企業社會責任的重要指標之一，曜祥網技技術經理黃士滄呼籲，企業可以透過資料的即時彙整與自動化的管理機制，進而在資安與人力成本中取得平衡。</span></p> <p><span style="font-size:16px;">不只如此，除了法遵要求外，企業如何在資安投資成效的ROI評估過程中，可以獲得最佳性價比，中芯數據技術長吳耿宏則觀察到，許多資安產品往往只能在企業遭到駭客入侵許久時間後，不小心才發現，原來早就被駭客入侵了，但這個企業被入侵到駭客被發現過程中，如何讓資安產品發揮「早期發現、早期預警」的成效，將是企業未來評估各種資安產品時的重要關鍵。</span></p> <p><span style="font-size:16px;">上述臺灣資安大會Keynote也會在iThome臉書粉絲專業直播，直播網址：<a href="https://www.facebook.com/ithomeonline/videos/805567933148341/">https://www.facebook.com/ithomeonline/videos/805567933148341/</a></span></p> <p><span style="font-size:16px;">除此之外，「大話資安x臺灣資安大會」也集結許多資安專家的訪談，從各種觀點來看現代企業面臨的風險與威脅。</span></p> <p><span style="font-size:16px;">在3月20日（三）下午1點30分，「大話資安x臺灣資安大會」特別節目將播出 Fortinet資安長Philip Quade的現場訪談，也會同時分享曜祥網際協理郭姿良和精品科技總經理黃文昌對於現在企業面臨資安威脅趨勢的觀察。直播網址：<a href="https://www.facebook.com/ithomeonline/videos/1083016115217730/">https://www.facebook.com/ithomeonline/videos/1083016115217730/</a></span></p> <p><span style="font-size:16px;">前一天精采的Keynote沒聽到沒關係，「大話資安x臺灣資安大會」在3月20日（三）下午2點半，也集結包括：資安神人Bruce Schneier、思科總工程師Sunil Amin、Polyswarm首席資安長Ben Schmidt以及趨勢科技全球核心技術部資深協理張裕敏的訪談分享，直播網址：<a href="https://www.facebook.com/ithomeonline/videos/378346816084776/">https://www.facebook.com/ithomeonline/videos/378346816084776/</a></span></p> <p><span style="font-size:16px;">到3月20日（三）下午3點30分，則有包括：卡巴斯基實驗室威脅研究副總裁蒂莫爾•比亞庫耶夫、Opswat創辦人兼執行長Benny Czarny、中芯數據技術長吳耿宏以及中華資安國際資深資安架構規劃師王信富等人精采的訪談分享，直播網址：<a href="https://www.facebook.com/ithomeonline/videos/375894103246327/">https://www.facebook.com/ithomeonline/videos/375894103246327/</a></span></p> <p> </p> <p> </p> <p> </p> <p> </p> <p> </p> </div></div></div>
2019/3/19 17:23作者黃彥棻https://www.ithome.com.tw/news/129448
新種Mirai殭屍網路死灰復燃，這次目標是企業級IoT裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2016及2017年屢次發動大規模分散式阻斷服務（DDoS）攻擊的Mirai殭屍網路病毒，在消失匿跡一段時間後被研究人員<a href="https://unit42.paloaltonetworks.com/new-mirai-variant-targets-enterprise-wireless-presentation-display-systems/" target="_blank">發現捲土重來</a>，而且這次目標是企業級的物聯網裝置，包括企業級投影機、智慧電視和Zyxel、Dlink及Netgear的多款路由器。</p> <p>Mirai以發動超大規模DDoS攻擊聞名，<a href="https://www.ithome.com.tw/news/109225" target="_blank">2016年</a>及<a href="https://www.ithome.com.tw/news/119202" target="_blank">2017年</a>利用數十萬台網路攝影機、家用路由器、網路儲存裝置，癱瘓了DNS供應商Dyn、ISP OVH及知名資安部落格Krebs on Security。</p> <p>安全公司Palo Alto Networks的Unit 42於今年初發現11隻新Mirai變種。和先前版本不同之處，這些變種不是在消費型物聯網裝置上發現，其中一隻攻擊WePresent WiPG-1000無線投影系統的WePresent WiPG-1000 Command Injection漏洞，另一隻則攻擊LG Supersign TV智慧電視的CVE-2018-17173。這二款都是商務型連網設備。這顯示駭客可能將目標轉向企業網路，藉以取得更大頻寬建立殭屍網路，方便日後發動DDoS攻擊。</p> <p>這已不是Mirai首度攻擊企業網路。<a href="https://www.ithome.com.tw/news/125267" target="_blank">去年九月</a>，Mirai也攻擊了Apache Struts及SonicaWall網路設備漏洞，前者也導致美國第三大消費者信用管理公司Equifax伺服器的重大資料外洩。</p> <p>但這次新一批Mirai變種有多種攻擊程式，分別攻擊不同裝置的漏洞，包括合勤Zyxel P660HN-T 路由器（Zyxel P660HN Remote Command Execution）、D-Link DIR-645、DIR-815 路由器（DLink diagnostic.php Command Execution）；DLink DCS-930L網路攝影機（DLink DCS-930L Remote Command Execution）；Netgear DGN2200 N300 Wireless ADSL2+ Modem Routers（CVE-2016-1555）；Netgear WG102, WG103, WN604, WNDAP350, WNDAP360, WNAP320（CVE-2017-6077, CVE-2017-6334）；及Netgear Prosafe WC9500、WC7600、WC7520 Wireless Controllers（Netgear Prosafe Remote Command Execution）等。所幸研究人員尚未觀察到已有發生攻擊的跡象。</p> <p>研究人員也發現Mirai從代管在哥倫比亞的一個受駭網站下載惡意程式。他們也在這批Mirai變種發現到用於暴力破解連網裝置的預設帳密。</p> <p>研究人員表示，這些趨勢也提醒企業必須注意公司網路上的IoT裝置，須變更預設密碼，並確保隨時更新修補程式。若有裝置無法修補程式，或許考慮最好從公司網路上移除。</p> </div></div></div>
2019/3/19 17:20作者林妍溱https://www.ithome.com.tw/news/129449
Google Play更新App圖標規格，開發者6月24日前須完成更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google為了讓App和遊戲圖標更適合Google Play商店中各種使用者介面布局、外形以及裝置，使整體看起來更加整齊一致，開始<a href="https://android-developers.googleblog.com/2019/03/introducing-new-google-play-app-and.html" target="_blank">分階段要求Android開發者更新圖標</a>。</p> <p>從4月開始，開發者就能開始將新規格的圖標上傳到Google Play控制臺，並在系統中確認圖標是否符合新規範，與此同時，Google Play商店仍然接受開發者上傳原始規格圖標。</p> <p>在5月1日之後，所有新上傳的圖標都必須要符合新規範，但是在Google Play商店中現有的原始圖標，可以繼續使用，而開發者已經更新的圖標，Google Play商店則會顯示新的圖標。Google要求所有的開發者更新的工作，需要在6月24日前完成，否則不符新規的舊圖標會以Legacy模式顯示。Legacy模式將原始圖標按比例縮小75％，套疊在新的格式形狀上。</p> <p>新的圖標規格大小仍然維持512 x 512的尺寸，但是不再允許透明背景，Android和Chrome作業系統上的Google Play，會為圖標添加圓角以及陰影效果，圓角半徑限制為20%的圖標大小，以確保在不同大小呈獻一致性，而電視、穿戴裝置以及車載系統上的Google Play則不會有任何改變，Google也提醒開發者，這項要求，不會影響Android的APK啟動器圖標。</p> </div></div></div>
2019/3/19 17:45作者李建興https://www.ithome.com.tw/news/129444
YouTube及臉書大規模移除基督城槍擊案影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紐西蘭基督城的努爾清真寺（Masjid Al Noor）及林伍德清真寺（Linwood Mosque）在3月15日遭到恐怖份子的掃射攻擊，造成逾100人傷亡的慘劇，其中一名澳洲籍槍手Brenton Tarrant甚至透過臉書進行現場直播，也讓臉書、YouTube與其它社交網站平台，開始大規模移除並封鎖這個在網路上四處流竄的兇殘影片。</p> <p><a href="https://newsroom.fb.com/news/2019/03/update-on-new-zealand/" target="_blank">臉書表示</a>在收到警方通知後幾分鐘就移除影片，根據統計，該影片在直播時的觀看次數不到200次，在臉書移除之前的觀看次數則約有4,000次。臉書也移除了可能是隸屬於槍手的臉書及Instagram帳號。</p> <p>此外，臉書也在所移除的影片上建立了指紋，用以自動偵測及封鎖上傳到臉書及Instagram的類似影片。在案件發生之後的前24小時，總計在全球移除了150萬則影片，當中有超過120萬則是在上傳前就被封鎖。</p> <p>至於YouTube雖然沒有公布移除數量，但卻<a href="https://www.washingtonpost.com/technology/2019/03/18/inside-youtubes-struggles-shut-down-video-new-zealand-shooting-humans-who-outsmarted-its-systems/?noredirect=on&utm_term=.45ecaffb3962" target="_blank">向媒體透露了該站針對此事所作的特殊因應</a>。YouTube產品長Neal Mohan在接受華盛頓郵報採訪時表示，他們在慘劇發生時立即號召各部門主管共同作戰，企圖辨識並移除成千上萬的槍擊影片，包括那些已被重新包裝過的影片，然而，當一組影片被移除時，下一秒就會出現另一組。</p> <p>這使得YouTube決定祭出非常手段。他們關閉了多項搜尋功能，包括避免使用者搜尋「最新上傳影片」，還暫時取消了人工審核機制，只仰賴AI系統的運作以加速影片的移除。</p> <p>其實YouTube也具備了可建立影片指紋的Hash技術，但Mohan說，相關技術也許可以辨識類似或只有一半長度的影片，卻拿那些已被剪裁成2、3秒的影片沒輒。</p> <p>此外，也有不少媒體拒絕於新聞中採用槍手所拍攝的畫面，或者不願寫出槍手的名字，以避免使用者以此為關鍵字來搜尋網路上的相關影片。</p> </div></div></div>
2019/3/19 18:10作者陳曉莉https://www.ithome.com.tw/news/129452
Internet Archive要幫忙備份即將消失的Google+資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google今年一月<a href="https://www.ithome.com.tw/news/128569" target="_blank">宣佈</a>將在4月2日關閉消費版Google+帳號及粉絲頁。對許多人來說，工作或生活上的重要記錄會從此消失。不過網頁備份計畫Internet Archive和名為Archive Team的組織本周<a href="https://www.reddit.com/r/plexodus/comments/az285j/saving_of_public_google_content_at_the_internet/" target="_blank">宣佈</a>已經出手把公開的Google+內容備份下來。</p> <p>Internet Archive是以保存並開放存取所有知識為使命的數位資料庫，它最為人所知的是<a href="https://web.archive.org" target="_blank">Wayback Machine網頁歸檔服務</a>，但這個計畫其實也保存文字、影像、音訊、軟體及其他格式的資訊。Archive Team則是一群由歸檔專業、程式開發人員、作者及倡議人士所組成，以拯救數位文物為宗旨的非正式組織，保留組織倒閉、合併或純粹刪除而消失的資料。他們在桌機或伺服器叢集上虛擬機器執行名為Warrior的grabber scripts來進行資料歸檔，曾參與拯救過包括Mozilla Addons、Tindeck及巴西ISP – UOL論壇的專案。</p> <p>Archive Team於去年12底就得知Google+要關閉，便與Google相關團隊於今年一月起展開合作規劃，著手下載Google+的資料。目前已完成下載超過360TB的資料，儲存於Internet Archive網站上，透過<a href="https://github.com/ArchiveTeam/googleplus-grab" target="_blank">GitHub專頁公開</a>。</p> <p>不過Archive Team也指出，由於資源有限，備份網頁的計畫仍有限制。只有現行在Google+上的公開內容才會被蒐集。不公開的或之前已刪除的內容，就會被刪除。本計畫也可能不會歸檔完整的貼文留言。雖然Google+每篇貼文允許高達500則留言回應，但在靜態HTML網頁只會顯示一小部份。本計畫不確定Google 是否會保留完整留言串，但過去經驗是不會。影片和相片都只會以較低解析度保存。此外，本計畫進度也可能因為其他不可抗力因素而有所延宕。</p> <p>但因為Internet Archive現行經費來自募款，估計1TB資料需要2,000美元，本計畫也公開尋求<a href="https://archive.org/donate/" target="_blank">捐款</a>。</p> <p>不想讓Internet Archive備份自己Google+的資料的人，也可以<a href="https://help.archive.org/hc/en-us/articles/360018138951-How-do-I-remove-an-item-page-from-the-site-" target="_blank">要求刪除</a>。使用者也可以自行到Google+網頁刪除自己的Google+帳號。</p> </div></div></div>
2019/3/19 16:35作者林妍溱https://www.ithome.com.tw/news/129445
蘋果更新7.9吋的iPad mini與10.5吋的iPad Air
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2019/03/all-new-ipad-air-and-ipad-mini-deliver-dramatic-power-and-capability/" target="_blank">蘋果於本周發表了新一代的iPad mini與iPad Air</a>，這兩款iPad產品皆已許久未更新，例如上一代的iPad mini 4是在2015年9月問世，iPad Air 2則是在2014年10月發表。全新的iPad mini及iPad Air都採用與iPhone XS/XR一致的A12 Bionic晶片，也都支援Apple Pencil，iPad mini的螢幕大小維持在7.9吋，iPad Air則從9.7吋增加到10.5吋。</p> <p>基本上，新一代的iPad Air 3與iPad mini 5除了螢幕尺寸與解析度稍有不同之外，兩者的規格幾乎是一致的，可說iPad mini 5就是iPad Air 3的縮小版。10.5吋的iPad Air 3解析度為264 ppi，7.9吋的iPad mini 5則是326 ppi。</p> <p>它們都採用A12 Bionic chip、神經引擎與嵌入式的M12協同處理器，搭載iOS 12作業系統，具備最大光圈為f2.4的800萬畫素相機及700萬畫素的FaceTime相機，也都支援eSIM與Touch ID。</p> <p>不管是Wi-Fi版或Wi-Fi+行動網路的iPad Air 3，都有64GB及256GB兩種儲存容量可供選擇，Wi-Fi版的售價分別為499美元（臺灣蘋果官網售價為16,900元新臺幣）與649美元（21,900元新臺幣），Wi-Fi+行動網路的售價則是629美元（21,400元新臺幣）與779美元（26,400元新臺幣）。</p> <p>iPad mini 5同樣也供應64GB及256GB兩種儲存容量，Wi-Fi版售價為399美元（12,900元新臺幣）及549美元（17,900元新臺幣），Wi-Fi+行動網路的售價則是529美元（17,400元新臺幣）與679美元（22,400元新臺幣）。至於必須額外購買的Apple Pencil則是99美元（3,090元新臺幣）。</p> <p>新一代的iPad mini與iPad Air即日起開放預購，計畫於下周上架，臺灣的蘋果官網雖然已列出了新產品的介紹與售價，但尚未揭露開賣日期。</p> </div></div></div>
2019/3/19 16:55作者陳曉莉https://www.ithome.com.tw/news/129446
JS基金會與Node.js基金會合併更名為OpenJS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.linuxfoundation.org/press-release/2019/03/node-js-foundation-and-js-foundation-merge-to-form-openjs-foundation/">由Linux基金會主持，JS基金會以及Node.js基金會正式合併成立OpenJS基金會</a>，此將有助於加速JavaScript和生態系中關鍵專案的發展。OpenJS基金會的目的，是提供一個維護專案的中立組織，並投資對生態系發展有助益的活動，進而促進整個JavaScript和網頁生態系的健康發展。</p> <p>由於JavaScript的互聯特質，因此生態系範圍涵蓋了廣泛的專案，OpenJS基金會由31個開源JavaScript專案組成，包括Appium、Dojo、jQuery、Node.js和webpack等。OpenJS基金會由30家企業支援，包括GoDaddy、Google、IBM、Joyent、PayPal和微軟等。</p> <p>Linux基金會提到，雖然JS基金會和Node.js基金會獨立存在多年，但由於JavaScript生態系統息息相關，因此兩個組織的合作越來越密切，也在2018年共同舉辦了Node+JS Interactive大型聯合技術會議。基金會合併的工作，早從六個月前就開始，從收集共識到現在治理結構確立，社群已經可以開始在OpenJS基金會下運作。</p> </div></div></div>
2019/3/19 17:04作者李建興https://www.ithome.com.tw/news/129442
MySpace搞丟用戶12年來上傳的音樂
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>還記得MySpace嗎？那個曾在2006年引領風騷、一度超越Google成為美國最多人造訪的社交網站，最近又再度成為新聞焦點，只不過，這次是因為有MySpace用戶抱怨，<a href="https://help.myspace.com/hc/en-us/articles/202233310-Where-Is-All-My-Old-Stuff-" target="_blank">MySpace搞丟了使用者在2003年到2015年間所上傳的音樂。</a></p> <p>當初的MySpace提供許多個人化服務，包括部落格、社團、照片、音樂及影片，使用者可將自己的內容上傳到MySpace，以直接於網站上聽音樂或看影片。</p> <p>不過，MySpace在去年進行伺服器遷移，不慎遺失了使用者在3年以前上傳的所有照片、影片及音樂檔案，而且無法再取得。</p> <p>曾協助創立Kickstarter眾籌網站的Andy Baio指出，MySpace等於是弄丟了從2003年創立到2015年之間的所有音樂檔案，估計應超過5,000萬首。同時他也懷疑這只是因為MySpace並不想費力遷移及代管5,000萬首的舊音樂，並不是什麼意外。</p> <p>根據<a href="https://help.myspace.com/hc/en-us/articles/202591250-How-Do-I-Download-or-Save-My-Stuff-?mobile_site=true" target="_blank">MySpace支援網站的描述</a>，用戶所上傳的FLV（Flash Video）檔案都無法再播放，因為該站已將播放器更新至HTML5，也沒有辦法讓用戶播放或下載這些影片，還建議用戶永遠都該記得要備份。</p> <p>此外，MySpace也坦承，在遷移至新版網站的時候，只保留了照片及友人資訊，其它沒有看到的內容就是消失了，也無法再取回。</p> <p>MySpace從2005年到2009年都名列全球最大的社交網站，但之後即被臉書取代，去年1月，它在全球網站的流量排行已跌到4,153名。此外，MySpace上的音樂或影片消失一事其實是發生在去年，當時有用戶透過Reddit揭發了此事，但並未引起大眾的注意，一直到本周有另一名MySpace用戶再度提起才受到矚目。</p> </div></div></div>
2019/3/19 17:10作者陳曉莉https://www.ithome.com.tw/news/129447
思科資安總工程師：應對雲端、多雲新威脅，企業防禦不僅要綜觀全局，更得要採取新一代資安防護架構迎戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>2019臺灣資安大會今日（3/19）正式登場，而首日一早擔任大會Keynote講者之一的思科資安事業群總工程師Sunil Amin，也以現今企業資安威脅面臨的挑戰做開場，會中他不只分享最新全球資安長對資安趨勢的最新觀察，更點出雲端、多雲時代，企業所面對的網路威脅挑戰和規模複雜性，企業得要改變舊有網路威脅應對方式，不僅要綜觀全局，甚至更要採用新一代網路防護架構，才能確保企業與雲端網路的安全。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190319_111401.jpg" style="width: 600px; height: 338px;" /></p> <p>Sunil Amin在會中指出，近年來，駭客攻擊手法有越來越複雜的趨勢，且攻擊方式持續進化，讓企業防不勝防，他舉例，兩年前出現的Petya 勒索軟體新變種 Nyetya，其滲透力與感染力更勝WannaCry，造成全球企業慘重災情;再者，也有基於政治意圖發動針對網路設備感染的惡意程式VPNFilter，來打擊敵對國家或組織陣營，另外也有不以竊取資料，而是以劫持電腦運算資源，來幫駭客挖幣的惡意採礦程式的出現，將企業設備都變成駭客的挖礦工具。</p> <p>即使是常見網路釣魚郵件，至今也都仍是駭客很常用的網路攻擊手法，暗中伺機竊取許多企業內部機敏資料，從中獲取不法利益。</p> <p>Sunil Amin也首次揭露了思科今年2月最新一分CISCO Benchmark Study資安長調查報告，一共調查了全球3,200家企業資訊長。該分報告顯示，將近8成受訪資安長認為在多廠商環境（multi-vendor environment）處境下，造成他們在威脅監控與反應上，面臨一大考驗。甚至，更大的挑戰在於，即便偵測到潛在網路威脅，但是難以立即反應，阻斷來自四面八方的攻擊，這樣的情況今年更顯著，在2017年人數比例還有55.6%，今年則只是下滑到只剩50.7%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190319_112221.jpg" style="width: 600px; height: 338px;" /></p> <p>不僅如此，尤其是現在許多企業都上雲，企業網路架構的改變，也帶來新的威脅。他表示，隨著企業上雲逐漸成為全球趨勢，現代的許多大型企業網路，都是採用基於分散式的網路架構，來逐步取代傳統集中式的一種網路架構，使得原先只要集中一點加強網路攻擊對策，即可做到有效的安全防護，現在，雲端企業變成是去中心化，要多點防護，不只是總公司，甚至也得加強對於企業使用的雲端網路，以及分公司網路邊緣強化安全防護，這也造成企業IT資安防護上的挑戰。</p> <p>Sunil Amin也直言，面對雲端、多雲新威脅，企業得要採用新一代資安防護架構，他也以自家產品為例，他們將現代資安架構分成3層，其中最底層是全方位威脅情報（Comprehensive Threat Intelligence），用以偵測、分析與防護企業已知或新興網路安全威脅，中間層則是全面執行層（Enforcement Everywhere），經由企業內部蒐集來自網路、設備端點、雲端及應用程式可能產生的威脅情資，或是經由與技術合作夥伴或第3方單位取得各種威脅情資，持續反饋。</p> <p>最後再經由最上層的管理及反應層（Managent. Response），他表，利用最上層Open API可以串接起從威脅偵測、調查、修復整個資安部署到安全政策執行的完整過程，並且還得針對企業上雲或多雲環境，加入連續性信賴驗證（Continuous Trust Verification）機制，將使用者裝置、應用等整合各種安全政策與感知，才能確保資安。</p> </div></div></div>
2019/3/19 12:57作者余至浩https://www.ithome.com.tw/news/129440
資安一周第34期：WinRAR漏洞被揭露第一周就有逾100種攻擊。2019臺灣資安大會擴大登場以資安週再創新高峰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0314-0320一定要看的資安新聞</strong></h3> <p> </p> <h3><span style="color:#B22222;"><strong>＃軟體漏洞　＃WinRAR</strong></span></h3> <h2><strong>WinRAR漏洞被揭露的第一周就有超過100種攻擊</strong></h2> <p>在今年2月20日，資安業者Check Point揭露壓縮軟體WinRAR含有超過10年的重大漏洞。最近McAfee更是指出，在相關漏洞被公布的第一周，坊間就出現了超過100種不同的攻擊行動，而且數量還在持續增加。在其中一個攻擊案例中，駭客利用美國歌手Ariana Grande最新專輯《Thank U, NexT》的壓縮檔來當作誘餌，一般人下載該檔案，在解壓縮後可取得音樂檔，但木馬程式也偷偷解壓縮到啟動資料夾，當系統重開機時，此一惡意程式便會自動執行。<a href="https://www.ithome.com.tw/news/129402"><span style="color:#A9A9A9;">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃臺灣資安大會　＃資安即國安</strong></span></h3> <h2><strong>2019 臺灣資安大會擴大登場，以資安週再創臺灣資安新高峰</strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E4%B8%80%E5%91%A8%E7%AC%AC34%E6%9C%9F.jpg" style="width: 220px; float: right;" /></p> <p>由iThome主辦，臺灣趨勢科技以及臺灣駭客協會共同主辦的「臺灣資安大會」，今年邁入第五屆，於3月19日～21日假世貿國際會議中心（TICC），以及世貿一館舉行，共有超過20國、8千人報名參加，逾200家資安廠商與社群組織共襄盛舉，總統蔡英文也將首度於3月19日臺灣資安大會開幕中上臺致詞，並邀請多位國際資安大師演講，同時，備受各界期待的第二屆臺灣資安館，也於本日正式揭開展覽序幕，讓臺灣資安產品能夠順利擴大連結亞洲市場。<a href="https://www.ithome.com.tw/news/129417"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃PoS安全　＃DMSniff</strong></span></h3> <h2><strong>PoS惡意程式鎖定中小企業，潛藏至少4年</strong></h2> <p>安全廠商Flashpoint近日發現，有一支名為DMSniff的PoS惡意程式已衍生出11隻變種，專門攻擊中小企業竊取信用卡資料，他們認為，可能從2016年起，就被大量用來攻擊餐廳、電影院等休閒娛樂業，但直到最近才被發現，流傳至今已4年之久。</p> <p>根據分析，DMSniff是藉由暴力破解SSH連線，或是掃描漏洞後並加以成功利用，而植入這些企業的PoS機器中。之後它會持續觀察PoS機的交易，發現「目標」即開始爬梳終端機的記憶體，以尋找該筆資料的信用卡號，再將這些資料連同周遭記憶體打包後，傳送給外部C&C伺服器。<a href="https://www.ithome.com.tw/news/129333"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃行動安全　＃Android</strong></span></h3> <h2><strong>中國業者利用Android程式竊取使用者通訊錄</strong></h2> <p>資安業者Check Point揭露中國業者Hangzhou Shun Wang Technologies所主導的「順手牽羊行動」，他們藉由在12款Android行動程式中，嵌入該公司所打造的SWAnalytics SDK，來蒐集手機用戶的通訊錄，由於這些程式頗受歡迎且散布在不同的Android程式市集，估計至少已蒐集全中國1/3人口的姓名與電話號碼，所幸這些App尚未滲透到Google Play。<a href="https://www.ithome.com.tw/news/129330"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89diag1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Check%20Point.png" style="width: 600px;" /></p> <p class="rteright"><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Check Point</span></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃Android防毒　＃假冒App</strong></span></h3> <h2><strong>研究：Android防毒軟體只有3成有效，更有2成5反而不安全</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962s%EF%BC%89avc_android_200_2019_collage_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90AV-Comparatives.png" style="width: 180px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／AV-Comparatives</span></p> <p>國際獨立測試機構AV-Comparatives在今年1月，針對Google Play這個市集的250款反惡意程式App，做了測試，讓所有App在同樣條件下偵測新近2000隻惡意程式樣本。</p> <p>結果發現，有80款App對惡意app偵測率超過30%，包括MalwareBytes、AVG、Avast、Avira、Bitdefender、Qihoo、ESET、F-Secure、Sophos、TrendMicro、卡巴斯基、McAfee以及Google Play Protect等。但是，除此之外的App若不是偽造程式，就是沒什麼效果，更有24%屬於不安全的程式。<a href="https://www.ithome.com.tw/news/129367"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃電子投票系統　＃滲透測試　＃Scytl</strong></span></h3> <h2><strong>瑞士電子投票系統漏洞可能遭竄改票數</strong></h2> <p>研究人員近期發現，瑞士準備推行的電子投票系統有漏洞，可能讓駭客竄改選票數字。這是瑞士郵政總局（SwissPost）針對西班牙廠商Scytl為其開發的電子投票系統，徵求外界協助滲透測試所得到的結果。這支由澳洲、瑞士及比利時研究人員組成的團隊，分析該電子投票系統之後，認為它用於確保選票數完整性的系統防護不足，以致於能接觸投票系統的有心人士，得以竄改選票數字。<a href="https://www.ithome.com.tw/news/129311"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃網站安全　＃臺灣第一</strong></span></h3> <h2><strong>2018年度十大網站攻擊技法出爐，臺灣資安專家研究再獲全球肯定，連續兩年蟬聯第一</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%892018%E5%B9%B4%E5%BA%A6%E5%8D%81%E5%A4%A7%E7%B6%B2%E7%AB%99%E6%94%BB%E6%93%8A%E6%8A%80%E8%A1%93%E5%85%AC%E5%B8%83_PortSwigger.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自PortSwigger網站</span></p> <p>去年的年度網站攻擊技術的前十名，已經於2月底正式公布，共有59項提名，歷經兩個月的社群投票活動，產生去年最值得關注的新研究。這項活動不僅是讓滲透測試的安全人員，可以從中獲得啟發，而網站安全人員，也能關注到最新的攻擊趨勢。同樣值得關注的是，獲得2018年度這項活動第一名的網站攻擊技術──「打破解析器邏輯，繞過路徑正規化並發現零時差漏洞」，是由臺灣的安全研究人員蔡政達（Orange Tsai）提出，連續兩年獲得社群青睞與肯定，達成二連霸。<a href="https://www.ithome.com.tw/news/129314"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃GPU漏洞</strong></span></h3> <h2><strong>英特爾修補19個Windows繪圖驅動程式的安全漏洞</strong></h2> <p>英特爾發布公告，共修補19個基於Windows平臺的繪圖驅動程式漏洞，相關漏洞可能帶來權限擴張、阻斷服務與資訊揭露等風險。雖然所有的漏洞都需透過本地端存取才能開採，但其中有兩個被列為高度風險，分別是CVE-2018-12214與CVE-2018-12216，均存在於Windows繪圖驅動程式的核心模式驅動程式（Kernel Mode Driver）中，將允許駭客執行任意程式。<a href="https://www.ithome.com.tw/news/129378"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃雲端服務中斷</strong></span></h3> <h2><strong>臉書、IG同時當機，只因變更伺服器配置</strong></h2> <p>臉書與Instagram在3月13日同時發生大當機事件，許多用戶抱怨無法登入、行動程式無法使用，也無法上傳照片或是網站無法存取等狀況，而臉書公司隔天透過Twitter公布原委，因為他們變更了伺服器的配置。值得注意的是，不只是臉書，前一日Gmail與Google Drive全球也出狀況，臺灣、全球版與歐洲版的G Suite狀態，在3月13日呈現「發生問題」的橘色標誌，另外，蘋果iCloud 也在15日出現大當機的狀況。<a href="https://www.ithome.com.tw/news/129366"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃App購物車漏洞　＃屈臣氏</strong></span></h3> <h2><strong>調查局公布偵破屈臣氏App網購漏洞一案</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89image001_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%80.png" style="width: 180px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／刑事警察局</span></p> <p>警方在3月11日公布偵破一起網路犯罪事件，是知名外商App的購物車系統遭人利用，以0元購買了超過2,300件、價值1,500萬元的商品，估計有200萬元商品已經出貨，而根據刑事警察局的說明，該業者就是屈臣氏。</p> <p>去年12月，刑事警察局接獲業者報案，因該業者發現App購物車出現多筆異常訂單，且結帳不符合網站標示金額，警方透過網路IP位址追查，在2月14日查獲2名嫌犯。警方指出，發現嫌犯手機內有屈臣氏的公測版App，主要係利用該APP挑選部分有問題的未標價商品，一旦放入購物車後，就會使商品全部標價都變0元，推測其內部開發管控有嚴重缺失，但目前仍也有一些地方未能釐清，例如，多半購物網站都有防止0元結帳的設計，為何該公司沒有這類防弊功能，或是被繞過，另外是否後端資料庫缺乏驗證等問題。<span style="color: rgb(169, 169, 169);"><a href="https://www.cib.gov.tw/News/Detail/38366">更多內容</a></span></p> <h4><strong><span style="color: rgb(0, 153, 255);">更多資安動態</span></strong><br /><a href="https://www.ithome.com.tw/news/129404">德國提議修法讓暗網平臺供應商承擔刑事責任</a><br /><a href="https://www.ithome.com.tw/news/129323">微軟修補64個安全漏洞，當中兩個已遭開採</a><br /><a href="https://www.ithome.com.tw/news/129187">臺灣遭受惡意程式攻擊現況揭露，竟是Botnet攻擊最多國家</a><br /><a href="https://www.ithome.com.tw/news/129054">用MITRE ATT&CK框架識別攻擊鏈，讓入侵手法描述有一致標準</a><br /><a href="https://www.ithome.com.tw/news/129432">駭客攻擊門檻大幅降低，工業無線電資訊安全拉警報</a><br /><a href="https://www.ithome.com.tw/news/129430">假新聞等關鍵基礎設施攻擊將會更加氾濫，趨勢科技呼籲全民需提高發覺異常的意識</a><br /><a href="https://www.ithome.com.tw/news/129306">【拒絕郵件詐騙，從帳號安全與收信安全做起】2019使用者郵件安全指南</a><br /><a href="https://www.ithome.com.tw/article/129308">臺灣EDR崛起，AI普及帶來端點防護新局面</a><br /><a href="https://www.ithome.com.tw/news/129143">基於區塊鏈技術的身分驗證方興起，強調零信任與去識別化</a> </h4><p> </p><h4> </h4> <h4> </h4> </div></div></div>
2019/3/19 11:36作者羅正漢https://www.ithome.com.tw/news/129435
【iThome 2019 CIO大調查（上）】金融業和醫療業大舉徵才，擴增開發人員的需求上揚
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/911_diao_cha_-p42-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>招募足夠的專業IT人才，是企業能否順利推動數位轉型的重大關鍵，而這樣的趨勢也反映在IT人力的成長上。根據我們今年的調查結果顯示，臺灣企業IT人力達到43.4人，相較於去年，提升36％，而單就開發人力而言，企業今年擴充的比例是45％。</p> <p>若以金融業而言，IT人力更是突破2百大關，今年增加的人力也提升到29人，比起去年多了7成。醫療業的部分，今年增加的人力提升到8.8人，比去年多1倍。</p> <p>不過，從人力增減的角度來看，今年金融業和醫療業招募更多IT人力的幅度，都比去年增長超過一半。</p> <p>若單就企業今年打算招募的IT人才類型來分析，10大熱門職缺的占比，絕大多數都提升。當中最讓人意外的部分在於，ERP工程師、Java開發人員、AI專才等類型的占比大幅提升。ERP工程師從第7名升至第4名，Java開發人員空降，挺進第6名，AI專才也從第10升至第7。</p> <p>然而，先前相當受到關注的BigData人才，去年原本是第6名（15％），今年則降至第8名（11.5％）；而專案管理人才的部份，也從第8名（12.8％），下滑兩個名次（10.2％）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/911%20%E8%AA%BF%E6%9F%A5-P42-570-1.png" style="width: 570px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/911%20%E8%AA%BF%E6%9F%A5-P42-570-2.png" style="width: 570px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/911%20%E8%AA%BF%E6%9F%A5-P42-570-3.png" style="width: 570px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>iThome 2019年CIO大調查問卷執行說明</strong></span></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，回收488份問卷，有效問卷數382份。其中有76.7％填答者是企業IT部門最高主管。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span> 【iThome 2019企業CIO大調查（上）】</strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/article/129338" target="_blank">數位轉型持續帶動IT投資，CIO目標轉向強化企業體質</a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/article/129339" target="_top">企業IT預算平均首度破億，IoT投資超越上雲和AI</a></strong></span></p> </div></div></div>
2019/3/19 12:00未署名https://www.ithome.com.tw/article/129340
【單日上萬件貨物運送皆改採自動化來指派】DHL如何用大數據優化在臺配送
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國郵政DHL集團在臺成立多年的國際快遞公司DHL Express臺灣近日也首度揭露在臺智慧物流運送的最新應用情況，開始結合車聯網、大數據、機器學習技術，對車隊來做更有效的管理，要讓每天上萬件貨物指派作業，都能改用更有效率的方式來完成配送，未來更進一步還要加入路線推薦機制，來提高司機送貨效率。</p> <p>目前，DHL臺灣在北、中、南各據點皆設有物流及服務中心，負責每日至少上萬件的貨物運送服務，包含郵件與各類包裹等。並交由全臺3百多人組成的運務車隊負責運送，並且針對每個區域會有各自負責的司機送貨。</p> <p>然而，DHL Express臺灣運務處副總裁盧嘉棟表示，過去在貨物運送分配上，皆採人工作業，該中心收到客戶的貨件後，會依據送貨地址所屬的區域，再分發至負責該區域的運務車隊司機，一一來送件到指定場所。光是每日要處理上萬件貨物運送指派作業，就耗費不少人力時間和成本。</p> <p><strong><span style="font-size:28px;">用大數據與機器學習，優化每日上萬件貨物指派作業</span></strong></p> <p>直到去年，DHL Express在臺自行打造一套貨物自動指派系統，可以根據包裹上的收貨地址，自動比對過往運送歷史資料，找出曾由哪位運務人員遞送過，自動將該貨物指派給他來運送。盧嘉棟透露，該系統也結合了大數據分析與機器學習技術，蒐集了大量資料來分析，來訓練各種預測模型，這些資料有過去每天司機送貨記錄的資訊，包括有快遞需求的公司行號、寄送貨中文地址與快遞司機等，並交叉分析巨量資料，找出各個貨物運送與地域關聯性，在貨物辨識與指派作業上更引進ML，讓整個指派作業可以更快完成。</p> <p>盧嘉棟指出，自今年上線至今，已有將近7成貨件分派處理，都改透過這套系統來自動指派給負責運務司機，大大的節省許多人工判斷時間，同時也簡化貨物配送的作業流程。</p> <p>不只貨物指派重新經過優化，在貨物遞送過程中， DHL Express下一步還計畫加入路線推薦機制，讓所有司機送貨路線可以更優化，不再僅能依據每位駕駛的長年經驗自行安排送貨路線，甚至未來也能依據這些送貨地點分布，由系統自動建議適合運送的行駛路線，司機再依據這些路線來依續將貨物送達顧客手中，提高司機送貨的效率。</p> <p>另外，在車隊管理上，DHL Express臺灣去年初開始整合車聯網通訊技術，來針對車隊進行更有效的管理，盧嘉棟表示，目前是先用車聯網技術來隨時掌握各車輛貨物派送的最新進度，也用在管理駕駛行為上，例如，開車有無急加速、急減速的動作，或是停車怠速不熄火等狀況。這些行車資訊都會透過車上一臺OBU車機回傳到後臺系統上，來做為駕駛行為管理與優化配送的參考依據。若以怠速駕駛行為為例，盧嘉棟指出，光是一整年下來，合計車隊車輛怠速次數足足減少了一半，不僅合乎環保，也因此減少了不少油耗的浪費。</p> <p>盧嘉棟表示，目前全臺已有多達50輛運務車皆配備了車聯網的功能，占總車隊七分之一，未來也計畫全面在所有的運務車上導入這項功能。</p> </div></div></div>
2019/3/19 12:00作者余至浩https://www.ithome.com.tw/news/129416
資料庫控管疏失又一椿，逾80萬名新加坡捐血者個資曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新加坡衛生科學局（Health Sciences Authority，HSA）近日<a href="https://www.hsa.gov.sg/content/hsa/en/News_Events/Press_Releases/2019/cybersecurityincident.html" target="_blank">警告</a>，其供應商置放在公開網路上的資料庫於今年1月4日到3月中旬之間，因缺乏適當的保護而允許非授權的存取，使得超過80萬名的捐血人個資曝光。</p> <p>曝光的捐血人確切數量為808,201，包括他們的姓名、身分證、性別、捐血次數、最近3次的捐血日期，有些還有血型、身高及體重，但並無聯絡資訊或其它機密資訊。</p> <p>至於負責保管該資料庫的則是Secur Solutions Group（SSG），諷刺的是，SSG宣稱自己是智慧卡發行設備與身分安全的領導業者。</p> <p>HSA表示，這些資料是由HSA提供給SSG作為更新及測試使用，沒料到SSG竟然將它們擺放在公開網路上，幸好該資料庫是被一名網路安全專家發現，並直接通報新加坡的個人資料保護委員會（ Personal Data Protection Commission），初步調查顯示除了該名安全專家之外，並無其他人存取該資料庫，同時HSA已與他聯繫以要求他刪除資訊。</p> <p>HSA已要求SSG保全該資料庫，並說SSG已經違反了雙方的合約，另也<a href="https://www.hsa.gov.sg/content/hsa/en/News_Events/HSA_Updates/2019/letter-to-blood-donor.html" target="_blank">對外保證</a>由HSA集中管理的血庫系統並未受到影響，未來將加強對供應商的監督及檢查，以確實保障捐血人的個資。</p> </div></div></div>
2019/3/19 12:15作者陳曉莉https://www.ithome.com.tw/news/129437
富士通無線鍵盤漏洞將允許遠端駭客接管系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國資安業者SySS GmbH近日<a href="https://seclists.org/bugtraq/2019/Mar/19" target="_blank">公布</a>了富士通（Fujitsu）高階無線鍵盤滑鼠組Wireless Keyboard Set LX901的鍵擊注入（Keystroke Injection）安全漏洞，將允許駭客自遠端向系統安裝惡意程式進而掌控電腦。</p> <p>Wireless Keyboard Set LX901是專為桌上型電腦設計的無線鍵盤及滑鼠組合，採用了128AES加密傳輸，屬於高階配件，售價超過200美元。</p> <p><a href="https://www.syss.de/fileadmin/dokumente/Publikationen/Advisories/SYSS-2016-068.txt" target="_blank">SySS的安全研究人員Matthias Deeg解釋</a>，富士通的無線鍵盤只能透過基於AES（進階加密標準，Advanced Encryption Standard）的資料封包來傳遞鍵擊，而電腦上的USB接收器則是由Cypress基於2.4 GHz頻段所開發的CYRF6936。</p> <p>問題來自於此一USB接收器不僅可處理以正確AES金鑰所加密的鍵盤封包，也能處理符合Cypress參考設計中所規範、具備特定封包格式的非加密資料封包。由於2.4 GHz頻段可支援最遠30英尺的無線傳輸範圍，意謂著駭客只要位於9米內，就有機會從遠端向系統注入惡意程式，進而掌控受害者電腦。</p> <p>假設受害者的螢幕是鎖住的，還可搭配SySS在2016年於Wireless Keyboard Set LX901上所發現的另一個重播（replay）漏洞，先行紀錄並重播螢幕密碼，再自遠端傳送惡意封包。</p> <p>研究人員在網路上購買了同樣整合CYRF6936晶片的無線模組，只花了32美元便成功示範了攻擊行動。</p> <p>SySS是在去年10月知會富士通，在富士通的要求下陸續提供了漏洞資料、概念性驗證攻擊影片與概念性攻擊程式的原始碼，但迄今並未收到修補通知。此外，當SySS在2016年向富士通提報重播漏洞時，富士通僅說該漏洞並不容易被開採，而且該公司產品的賣點是方便而非安全，因此並不打算修補，才使得SySS迄今還能利用此一漏洞。</p> </div></div></div>
2019/3/19 12:35作者陳曉莉https://www.ithome.com.tw/news/129438
Slack推出企業加密管理工具，讓用戶用自家金鑰控制資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://slackhq.com/enterprise-key-management">聊天協作平臺Slack宣布推出企業加密新工具Enterprise Key Management（EKM）</a>，這些密鑰是由AWS KMS服務管理。Slack的首席資安長Geoff Belknap表示，Slack平臺原本都已經有針對資料進行加密處理，這次推出的EKM工具則是為安全性添加額外一層保護機制，讓企業用戶可以在Slack上安全地分享對話、資料和檔案，尤其是受到安全監管的產業，像是金融服務業、醫療保健和政府機關等高度監管的企業。</p> <p>Slack指出，該工具特別之處在於能夠允許用戶可以控制或撤銷自家的金鑰，管理員也可以在不影響團隊工作的情況下，針對性地選擇取消存取權限，而不需要取消整個產品的存取權限，用戶還能透過AWS KMS服務中的詳細活動日誌，查看數據被存取的時間和地點。</p> </div></div></div>
2019/3/19 12:45作者何維涓https://www.ithome.com.tw/news/129433
英特爾將為美國打造Exascale等級的新世代超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾與Cray<a href="https://newsroom.intel.com/news-releases/u-s-department-energy-intel-deliver-first-exascale-supercomputer/#gs.23sd1k" target="_blank">宣佈</a>贏得美國能源部一紙5億美元的合約，將打造全球第一座Exascale等級的超級電腦。</p> <p>這座系統是由能源部下的阿貢國家實驗室（Argonne National Lab，ANL）開發名為Aurora的專案，將用於先進科學研究與發現。英特爾團隊預計2021年完成並交付最新的Aurora超級電腦。</p> <p><a href="https://www.ithome.com.tw/news/95122" target="_blank">Aurora專案於2015年啟動</a>，當時也是由英特爾與下包商Cray合作打造，2017年美國ANL將Aurora計畫<a href="https://www.ithome.com.tw/news/114976" target="_blank">擴大</a>為打造出全球第一個Exascale運算系統。目前中國、美國、日本等國家正競相開發全球第一個Exascale等級的超級電腦。</p> <p>ANL<a href="https://www.anl.gov/article/supercomputing-powerhouse" target="_blank">指出</a>，Aurora效能高達1 exaflop/s，每秒可執行1 quintillion（10的18次方，百萬兆次）次浮點運算，也就是1000 petaflop。它同時具備傳統高效能運算（HPC）及人工智慧（AI）的處理能力，可協助研究人員從事極大資料量的宇宙模擬、氣候預測、尋找預測藥物反應的新方法，以及發現建立有機太陽能電池更有效的材料等科學研究。</p> <p>Aurora超級電腦的底層是英特爾專為整合AI與HPC的海量運算融合系統打造的技術，包括未來世代的Intel Xeon Scalable處理器、Xe運算架構、未來世代的Intel Optane DC 持續性記憶體（Persistent Memory）及Intel One API軟體。硬體方面，Aurora將使用Cray代號為Shasta的次世代超級電腦系統，它包含200多個機櫃，並具備Cray的Slingshot高效能可擴充互連技術、以及為英特爾架構最佳化的Shasta軟體堆疊。</p> <p><a href="http://www.anl.gov/article/supercomputing-powerhouse" target="_blank">ANL</a>擁有多台全球頂尖超級電腦系統，包括10 petaflops的IBM Blue/Gene Q系統打造的Mira、以及11.69 petaflops的Theta，後者也是由Intel/Cray團隊打造。</p> </div></div></div>
2019/3/19 12:55作者林妍溱https://www.ithome.com.tw/news/129441
2019臺灣資安大會登場，蔡英文：強化政府資安聯防能量、培育產業及資安人才
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">2019臺灣資安大會正式在今天(3/19)展開，去年副總統陳建仁到場致詞，今年總統蔡英文親自蒞臨致詞，並表示未來政府會繼續投入完備資安基礎環境、強化中央及地方聯防體驗，提昇國內資安產業能量及培育資安人才。</span></p> <p class="p1"><span class="s1">在資安大會的一開始，iThome總編輯暨臺灣資安大會主席吳其勳表示，今年是臺灣資安大會成立的第五年，從一開始千人規模的會議，到如今來自20多個國家，超過8000人報名參加的盛況，特別是今年邀請到總統到場，給予國內資安產業鼓勵，今年資安大會也擴大為資安週，這一週在台北國際會議中心及台北世貿中心，將有20個活動、超過十軌的議程，並有超過250場演講，探討資安的各個面向，還有超過80家全球資安品牌，展示最新資安防禦技術，成為亞洲地區受注目的資安會議。相信未來持續凝聚力量，大家持續合作，面對資安威脅就能反應更快、更好，建構更美好、安全的未來。</span></p> <p class="p1"><span class="s1">首次蒞臨的總統蔡英文首先恭喜資安大會規模一年比一年盛大，從2014年到現在吸引了美國、加拿大、德國、以色列近三十國家，超過2800家企業、450位資安長、資訊長參與，更舉辦Asia Cyber Channel Summit，吸引許多南向資安買家前來臺灣，採購臺灣自主研發的產品、設備及服務，和各國也建立起友好的關係。</span></p> <p class="p1"><span class="s1">她提到臺灣資安大會的另一項意義，是集結了各界的力量和資安產業夥伴共同合作，一起面對國際資安議題的挑戰，這幾年「資安就是國安」是政府推動施政的重點，由於數位化的趨勢，民眾在生活上仰賴網路科技，例如行動支付的使用，不過，這也同樣吸引了駭客攻擊、網路詐騙、散佈假消息，不僅造成社會資安的危害，甚至可能影響臺灣的民主發展及國家安全。</span></p> <p class="p1"><span class="s1">落實「資安即國安」的精神，蔡英文說明這幾年政府在資安上的實際作為，如行政院推動了「國家資通安全發展方案」四大策略，完備資安基礎環境，建構中央及地方的聯防體系，提昇資安產業自主能量和培育優質的資安人才。在關鍵基礎設施防護上，立法延宕多年終於通過上路實施的「資通安全管理法」，讓資訊安全防護有了法源的依據且更嚴密，對能源、水資源、通訊傳播、銀行等八大關鍵基礎設施的提供者，必須向政府提報資安維護計畫，發生資安事件時也必須通報中央主管機關。</span></p> <p class="p1"><span class="s1">她指出未來會持續強化各縣市的區域資安聯防及服務整合，讓中央和地方充分合作提昇資安防護能量，同時也會加強資安人才的培育及研發能量，積極協助資安產業輸出至國際，讓更多人能夠看到臺灣在資安上的貢獻。同時也期許資訊安全不能孤軍奮戰，在政府和民間努力下，臺灣在資安攻防戰場上將有更強的防護力。</span></p> <p class="p1"><span class="s1">總統隨後前往參觀由33家國內資安廠商展出的臺灣資安館，今年是第二屆臺灣資安館展出，總統到場參觀給予國內資安產業鼓勵，她參觀了安碁資訊、奧義智慧、中華資安國際、精品科技、戴夫寇爾、網擎資訊等11家業者展出資安技術及產品服務。在導覽後步出資安館，蔡英文表示，臺灣資安大會是大家努力的成果，現在國際上討論資安議題，都一定要從臺灣作連結，是國內相關產業這幾年的努力。</span></p> <p class="p1"><span class="s1">在接下來的這一周，臺灣資安大會將舉行多達十軌同步議程，近250場的資安專題演演，涵蓋資安防後觀念、物聯網安全、金融安全、工業安全、AI安全、駭客威脅、假新聞、GDPR、5G、軟體開發等不同層面、領域的資訊安全議題。參加的國際知名資安專家如密碼學大師之一的Bruce Schneier、亞馬遜全球漏洞獎勵計畫兼亞馬遜日本資安長陳浩維、IBM資安長Koos Lodewijkx等。</span></p> </div></div></div>
2019/3/19 12:59作者蘇文彬https://www.ithome.com.tw/news/129439
蘋果心臟研究結果出爐，Apple Watch的確能發現心房顫動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果與史丹佛醫學院（Stanford Medicine）在去年底展開全球規模最大的心率量測研究：<a href="http://med.stanford.edu/news/all-news/2019/03/apple-heart-study-demonstrates-ability-of-wearable-technology.html" target="_blank">蘋果心臟研究（Apple Heart Study）</a>，此一凝聚美國逾4萬名受試者的研究主要是比較以Apple Watch及心電圖（electrocardiography，ECG）貼片所偵測到的心律不整是否相符，<a href="https://www.apple.com/newsroom/2019/03/stanford-medicine-announces-results-of-unprecedented-apple-heart-study/" target="_blank">研究結果</a>顯示出自Apple Watch上收到心律不整（irregular heart rhythm）通知的用戶中，有71%也被ECG貼片發現心律不整的毛病。</p> <p>早期Apple Watch內建的感應器可監控流過手腕的血液，從手腕上的4個點蒐集數據，再佐以強大的軟體演算法，來計算心臟跳動的頻率與節奏，臨床上最常見的心律不整為心房顫動（Atrial Fibrillation，AFib），而心房顫動又是造成中風的主因，Apple Watch即可在察覺異樣時通知用戶。</p> <p>參與此一研究的條件是必須同時擁有iPhone及Apple Watch（前三代皆可），但並不包含已內建ECG的Apple Watch 4。總計有419,093名Apple Watch用戶下載了Apple Heart Study程式以參與該研究，當中只有0.5%的受試者收到Apple Watch的心律不整通知，並收到研究單位所寄出的可攜式ECG貼片。</p> <p>當同時配戴Apple Watch與ECG貼片時，顯示出Apple Watch的脈博監控演算法有71%的陽性預測值（Positive Predictive Value，PPV），簡言之誤報率只有29%；若已被Apple Watch視為心律不整的用戶再收到一次通知，其準確度則會提高到84%。</p> <p>不過，在這2,100名收到心律不整通知的Apple Watch用戶中，只有57%尋求醫療協助。</p> <p>從醫學研究人員的觀點來看，僅有0.5%收到Apple Watch的心律不整通知顯示它並沒有過度通知的問題，且穿戴式裝置除了應用在心房顫動之外，應該也能用來避免其它疾病的發作。</p> </div></div></div>
2019/3/19 11:55作者陳曉莉https://www.ithome.com.tw/news/129436